Słownik pojęć: po angielsku, po polsku i której formy używać.

TAB. 1B1 haseł

Nazwa	Definicja
broker początkowego dostępu +W	Przestępca wyspecjalizowany w zdobywaniu i odsprzedaży dostępu do już skompromitowanych sieci — sam zwykle nie prowadzi ataku końcowego, tylko sprzedaje wejście, najczęściej grupom ransomware.
initial access broker

TAB. 2C5 haseł

Nazwa	Definicja
canary token +W	Fałszywy zasób-pułapka (plik, link, klucz API, konto, rekord w bazie), którego nikt uprawniony nie powinien dotykać — każde użycie wysyła alarm, więc sygnalizuje włamanie lub wyciek. W WordPressie może to być nieużywane konto „admin” z hasłem-pułapką albo fałszywy klucz w wp-config.php podłączony do serwisu Canarytokens.
honeytoken / canary token
chain of custody +W	Udokumentowana, nieprzerwana historia tego, kto, kiedy i w jakim celu miał dostęp do zabezpieczonego materiału dowodowego.
chain of custody
CSIRT +W	Zespół powołany do przyjmowania zgłoszeń i obsługi incydentów bezpieczeństwa w obrębie określonej społeczności; w Polsce poziom krajowy tworzą CSIRT NASK, CSIRT GOV i CSIRT MON.
computer security incident response team (CSIRT)
Cyber Kill Chain +W	Model Lockheed Martin dzielący atak na siedem następujących po sobie etapów — od rozpoznania po działania na celu — wskazujący, w którym miejscu obrońca może atak przerwać.
cyber kill chain
czas przebywania atakującego w sieci +W	Liczba dni, jakie upływają od kompromitacji środowiska do wykrycia obecności napastnika (liczona do wykrycia, nie do usunięcia napastnika).
dwell time

TAB. 3D6 haseł

Nazwa	Definicja
DBIR	Coroczny raport Verizon o naruszeniach bezpieczeństwa, oparty na tysiącach przeanalizowanych incydentów zapisanych w słowniku VERIS. Najczęściej cytowane źródło statystyk o tym, jak dochodzi do włamań, kto za nimi stoi i ile trwa ich wykrycie.
Data Breach Investigations Report (DBIR)
detection engineering +W	Dyscyplina projektowania, testowania i utrzymywania reguł wykrywania jak kodu — z wersjonowaniem, pomiarem skuteczności i mapowaniem pokrycia na MITRE ATT&CK.
detection engineering
dezinformacja +W	Celowe rozpowszechnianie fałszywych lub wprowadzających w błąd treści, prowadzone jako zorganizowana kampania (fałszywe konta, podszywanie się pod instytucje, przejęte serwisy), a gdy stoi za nim obce państwo — opisywane w nomenklaturze unijnej skrótem FIMI.
disinformation / FIMI (zagraniczne manipulacje informacyjne)
discovery method	Kto albo co jako pierwsze zauważyło incydent: własny monitoring, partner (dostawca usługi, hosting), klient, wyszukiwarka, policja, a nawet sam sprawca. W VERIS pole discovery_method z gałęziami internal, partner i external; mówi wiele o tym, czy organizacja umie wykrywać ataki sama.
discovery method
dostęp just-in-time +W	Nadawanie uprawnień (np. administratora serwera, konta w chmurze, dostępu do portu SSH/RDP) tylko na czas konkretnego zadania, z automatycznym odebraniem po upływie limitu, zamiast stałych kont uprzywilejowanych. W WordPressie odpowiada temu tymczasowe konto administratora dla serwisanta, które samo wygasa.
just-in-time access (JIT)
dostęp warunkowy +W	Zasady, które przy każdym logowaniu oceniają kontekst — kto, skąd, z jakiego urządzenia, z jakim ryzykiem — i na tej podstawie wpuszczają, żądają MFA albo blokują. Najbardziej znane jako Conditional Access w Microsoft Entra ID (Microsoft 365); podobną logikę dla panelu WordPressa dają reguły WAF i wtyczki ograniczające logowanie np. do krajów lub adresów IP.
conditional access

TAB. 4E1 haseł

Nazwa	Definicja
EDR (Endpoint Detection and Response) +W	Oprogramowanie agentowe instalowane na stacjach roboczych i serwerach (punktach końcowych), które rejestruje szczegółową telemetrię systemu, wykrywa działania napastnika i pozwala zdalnie zareagować, np. odciąć host od sieci.
endpoint detection and response (EDR)

TAB. 5F1 haseł

Nazwa	Definicja
fałszywy alarm +W	Zdarzenie oznaczone przez system detekcji jako złośliwe, które po weryfikacji okazuje się legalną aktywnością.
false positive

TAB. 6I1 haseł

Nazwa	Definicja
informatyka śledcza +W	Zabezpieczanie i analiza cyfrowych śladów — dysków, pamięci operacyjnej, logów — w sposób pozwalający odtworzyć przebieg zdarzenia i zachować wartość dowodową ustaleń.
digital forensics

TAB. 7M6 haseł

Nazwa	Definicja
MDR (Managed Detection and Response) +W	Usługa zewnętrznego dostawcy, który w imieniu klienta prowadzi całodobowe monitorowanie i reagowanie na incydenty, opierając się na własnych analitykach i narzędziach klasy EDR/XDR.
managed detection and response (MDR)
MITRE ATT&CK +W	Publiczna baza wiedzy organizacji MITRE, katalogująca zaobserwowane w praktyce taktyki i techniki napastników; służy jako wspólny język opisu ich zachowań i miara pokrycia detekcji.
MITRE ATT&CK
modelowanie zagrożeń +W	Systematyczne ustalanie, co w systemie chronimy, kto i jak może to zaatakować oraz jakie zabezpieczenia to ograniczą — najlepiej na etapie projektowania (metody np. STRIDE, narzędzie OWASP Threat Dragon). Dla strony WordPress to np. rozpisanie, kto ma dostęp do panelu, skąd przychodzą wtyczki i co się stanie po wycieku hasła administratora.
threat modeling
monitoring dark webu +W	Śledzenie forów przestępczych, rynków i witryn wycieków w celu wczesnego wykrycia wykradzionych danych, dostępów lub przygotowań do ataku na organizację.
dark web monitoring
MTTD +W	Uśredniony czas od wystąpienia złośliwej aktywności do jej wykrycia, stosowany jako miara skuteczności detekcji SOC.
mean time to detect (MTTD)
MTTR +W	Uśredniony czas od wykrycia incydentu do jego opanowania lub zamknięcia, stosowany jako miara sprawności zespołu reagowania.
mean time to respond (MTTR)

TAB. 8O1 haseł

Nazwa	Definicja
opanowanie incydentu +W	Etap reagowania polegający na powstrzymaniu rozprzestrzeniania się incydentu — izolacji hostów, zablokowaniu kont, odcięciu komunikacji — zanim zagrożenie zostanie trwale usunięte.
containment

TAB. 9P3 haseł

Nazwa	Definicja
playbook +W	Spisany scenariusz obsługi konkretnego typu incydentu, określający kolejne kroki, punkty decyzyjne i osoby odpowiedzialne.
playbook
post-incident review +W	Podsumowanie przeprowadzane po zamknięciu incydentu, którego celem jest ustalenie przyczyn i luk w obronie oraz przekucie ich w konkretne zmiany, a nie wskazanie winnych.
post-incident review
przywrócenie działania +W	Etap reagowania polegający na przywróceniu systemów do normalnej pracy i potwierdzeniu — pod wzmożonym monitoringiem — że napastnik nie odzyskał dostępu.
recovery

TAB. 10R2 haseł

Nazwa	Definicja
reagowanie na incydenty +W	Zorganizowany proces obsługi incydentu bezpieczeństwa: od wykrycia i analizy, przez opanowanie i usunięcie zagrożenia, po przywrócenie działania i wyciągnięcie wniosków.
incident response
retencja logów +W	Polityka określająca, jak długo i w jakiej postaci przechowywane są logi — od niej zależy, czy incydent sprzed miesięcy da się jeszcze odtworzyć.
log retention

TAB. 11S4 haseł

Nazwa	Definicja
SIEM (Security Information and Event Management) +W	System, który zbiera i normalizuje logi oraz zdarzenia z wielu źródeł, koreluje je regułami i generuje z nich alerty dla analityków.
security information and event management (SIEM)
SOAR (Security Orchestration, Automation and Response) +W	Warstwa automatyzacji pracy SOC, która wykonuje powtarzalne kroki obsługi alertu według zdefiniowanego playbooka i spina ze sobą pozostałe narzędzia bezpieczeństwa.
security orchestration, automation and response (SOAR)
SOC (Security Operations Center) +W	Wydzielony zespół wraz z narzędziami i procedurami, który w trybie ciągłym monitoruje zdarzenia bezpieczeństwa w infrastrukturze organizacji, wykrywa incydenty i uruchamia reakcję.
security operations center (SOC)
STIX/TAXII +W	Para standardów OASIS do wymiany informacji o zagrożeniach: STIX definiuje ustrukturyzowany format opisu zagrożeń (obiekty, relacje, wskaźniki), a TAXII — protokół warstwy aplikacji (nad HTTPS) do przesyłania takich danych między organizacjami.
STIX/TAXII

TAB. 12T6 haseł

Nazwa	Definicja
tabletop exercise +W	Ćwiczenie prowadzone „przy stole", podczas którego zespół omawia krok po kroku reakcję na hipotetyczny scenariusz incydentu — testuje decyzje, role i procedury, a nie systemy; nie wykonuje się przy nim żadnych działań na żywej infrastrukturze.
tabletop exercise
taktyki, techniki i procedury (TTP) +W	Trójwarstwowy opis zachowania napastnika: taktyka to jego cel na danym etapie ataku, technika — sposób osiągnięcia tego celu, a procedura — konkretna implementacja stosowana przez daną grupę.
tactics, techniques and procedures (TTP)
threat actor +W	Osoba, grupa lub organizacja stojąca za wrogim działaniem wobec systemów — od pojedynczego przestępcy po strukturę sponsorowaną przez państwo; termin parasolowy z modeli threat intelligence, obejmujący także sprawców nieatakujących bezpośrednio (np. brokerów dostępu, dostawców infrastruktury).
threat actor
threat hunting (polowanie na zagrożenia) +W	Aktywne, prowadzone przez analityka poszukiwanie śladów napastnika w danych telemetrycznych, wychodzące od hipotezy, a nie od alertu wygenerowanego przez system.
threat hunting
threat intelligence +W	Przetworzona i osadzona w kontekście wiedza o napastnikach, ich metodach i infrastrukturze, służąca do podejmowania decyzji obronnych.
threat intelligence
triaż +W	Wstępna ocena napływających alertów rozstrzygająca, które z nich są fałszywe, a które wymagają pogłębionej analizy i z jakim priorytetem.
triage

TAB. 13U2 haseł

Nazwa	Definicja
UEBA +W	Analityka wykrywająca zagrożenia przez wychwytywanie odstępstw od wyuczonego wzorca zachowania użytkownika lub innego podmiotu (konta serwisowego, hosta, urządzenia), zamiast dopasowania do znanej sygnatury.
user and entity behavior analytics (UEBA)
usunięcie zagrożenia +W	Etap reagowania polegający na trwałym usunięciu zagrożenia ze środowiska: narzędzi napastnika, jego kont i mechanizmów utrzymania dostępu oraz wykorzystanej podatności.
eradication

TAB. 14V2 haseł

Nazwa	Definicja
VCDB	Otwarta baza publicznie ujawnionych naruszeń bezpieczeństwa zapisanych w słowniku VERIS, prowadzona przez zespół Verizon z udziałem ochotników. Służy do badań i porównań: pokazuje, jak często dany rodzaj ataku, sprawcy czy sposobu wykrycia występuje w znanych incydentach.
VERIS Community Database (VCDB)
VERIS	Otwarty słownik Verizon do opisywania incydentów bezpieczeństwa w jednolity, policzalny sposób: kto był sprawcą, jakim działaniem wszedł, co naruszył, kto i jak incydent wykrył. Na nim stoi coroczny raport Verizon DBIR i baza VCDB.
Vocabulary for Event Recording and Incident Sharing (VERIS)

TAB. 15W1 haseł

Nazwa	Definicja
wskaźnik kompromitacji (IoC) +W	Techniczny ślad świadczący o naruszeniu — np. skrót kryptograficzny (hash) pliku, adres IP, nazwa domeny czy klucz rejestru — używany do wykrywania włamania i przeszukiwania środowiska.
indicator of compromise (IoC)

TAB. 16X1 haseł

Nazwa	Definicja
XDR (Extended Detection and Response) +W	Rozwinięcie EDR, które łączy i koreluje sygnały z wielu warstw naraz — punktów końcowych, sieci, chmury i tożsamości — w jeden obraz incydentu.
extended detection and response (XDR)

TAB. 17Z3 haseł

Nazwa	Definicja
zarządzanie powierzchnią ataku +W	Ciągłe wyszukiwanie i monitorowanie wszystkiego, co organizacja wystawia do internetu (domeny, subdomeny, adresy IP, panele logowania, zapomniane instalacje WordPressa, certyfikaty), ocena ryzyka i usuwanie zbędnych punktów wejścia. Zwykle realizowane narzędziami skanującymi z zewnątrz, z perspektywy atakującego.
attack surface management (ASM)
zgłoszenie naruszenia ochrony danych +W	Prawny obowiązek powiadomienia o naruszeniu. W RODO są to dwa odrębne obowiązki: zgłoszenie naruszenia ochrony danych osobowych Prezesowi UODO w ciągu 72 godzin (art. 33) oraz — gdy ryzyko dla osób jest wysokie — zawiadomienie samych osób, których dane dotyczą, bez zbędnej zwłoki (art. 34). W reżimie NIS2 i ustawy o KSC odpowiednikiem jest zgłoszenie incydentu poważnego do właściwego CSIRT.
breach notification
zmęczenie alertami +W	Spadek czujności analityków wywołany nadmiarem alertów, w większości fałszywych, prowadzący do przeoczenia zdarzeń naprawdę istotnych.
alert fatigue

po polsku: nazwa polska w kolorze. Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie.
obie formy: obie nazwy w kolorze. Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski.
po angielsku: nazwa angielska w kolorze. Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim.
bez tłumaczenia: nazwa angielska w kolorze. Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
Nazwa: Pierwszy wiersz — polska nazwa (link do strony hasła), drugi — angielska. Szara nazwa istnieje, ale nie jest formą, której używamy.
Definicja: Skrócona do dwóch wierszy. Pełna — razem z odmianą, synonimami i cytatami ze źródeł — jest na stronie hasła.
Alfabet: Litera pokazuje tylko hasła na tę literę; „Wsz.” wraca do całości. Wyszarzone litery nie mają haseł w bieżącym filtrze.
Szukaj hasła: Szuka w nazwie polskiej i angielskiej, w synonimach i w definicji. Najpierw hasła, których nazwa pasuje, potem te, w których słowo pada tylko w definicji. Ta sama wyszukiwarka stoi w Bazie wiedzy i w Rozszerzeniach.