1. Start
  2. Oferta
  3. SIEM / SOC

Dział · SIEM / SOC

SIEM / SOC

Zintegrowany system detekcji zagrożeń: Wazuh, Graylog i Fortigate w jednym ekosystemie.

Pakiety Porozmawiajmy

Łączymy głęboką analitykę punktów końcowych (Wazuh) z centralnym zarządzaniem logami i automatyzacją (Graylog) oraz zaporą Fortigate NGFW. Powstaje spójny ekosystem SIEM/XDR, który zamienia pasywną ochronę w aktywny model reagowania.

Wazuh pełni rolę „mózgu bezpieczeństwa”, a Graylog „centrum logistycznego” logów, obsługując także zdarzenia spoza bezpieczeństwa: błędy systemowe, start i stop usług czy logi aplikacyjne. To fundament SOC - pełna technologia klasy enterprise w modelu obsługi dopasowanym do budżetu, bez płacenia za czas analityka, gdy nic się nie dzieje.

  • Monitorowanie integralności plików i procesów (FIM) na każdym hoście
  • Centralizacja i normalizacja logów z serwerów, stacji i firewalla
  • Wzbogacanie logów: GeoIP, segment sieci (VLAN), czytelne opisy zdarzeń
  • Korelacja zdarzeń z firewalla i endpointów w czasie rzeczywistym
  • Active Response: izolacja hosta i automatyczna blokada IP na Fortigate
  • Raporty zgodności z RODO generowane z mapowania reguł

Pakiety

Wdrożenie, integracja i utrzymanie

Rozwiązanie budujemy etapami. Wazuh jest Open Source (bez opłat za agenta i wolumen danych), a Graylog Security działa w subskrypcji rozliczanej wg wolumenu logów. Całość zastępuje osobne systemy EDR, SIEM i SOAR.

01

WDROŻENIE

System SIEM/XDR od projektu po szkolenie

Model
Projekt jednorazowy
Skala
np. 400 hostów, ok. 320 rbh
Cena
Wycena indywidualna

Dla kogo

Organizacje, które chcą zastąpić rozproszone logi i reakcję post factum widocznością zdarzeń w czasie rzeczywistym.

Zakres

  • Audyt i architekturaSegmentacja VLAN, zasoby maszyn wirtualnych, retencja danych zgodna z RODO.
  • Infrastruktura i rdzeń SIEMLinux (Ubuntu/Debian), Wazuh Indexer, Manager i Dashboard, Graylog z MongoDB i Fluent-bit.
  • AgenciMasowa dystrybucja na Windows i Linux (GPO, Ansible), moduły FIM i skanowania podatności.
  • Wzbogacanie danychLookup Tables i reguły Pipeline, np. EventID 4625 jako „nieprawidłowe hasło - dział finansowy”.
  • Tuning i alertyWłasne dekodery, eliminacja fałszywych alarmów, powiadomienia e-mail i Teams.
  • SzkolenieObsługa dashboardów Graylog (L1/L2) i procedury reagowania na incydenty krytyczne.

Najważniejszy etap

Redukcja szumu: dostrajamy reguły FIM, SCA i Vulnerability Detection, aby zespół dostawał wyłącznie zweryfikowane alerty.

Zapytaj o pakiet
02

INTEGRACJA

Fortigate NGFW i SOAR

Model
Rozszerzenie wdrożenia
Czas realizacji
3-5 dni roboczych
Cena
Wycena indywidualna

Dla kogo

Firmy z zaporą klasy NGFW (np. Fortigate, Cisco Firepower), które chcą korelować ruch sieciowy z endpointami i automatycznie blokować ataki.

Zakres

  • Zdarzenia z NGFWFortigate wysyła do Graylog logi zablokowanych połączeń i wykrytych sygnatur IPS.
  • Parsing i ocena ryzykaGraylog Pipeline wyodrębnia adres źródłowy i nadaje mu Risk Score na podstawie threat intelligence.
  • Korelacja z endpointemWzrost obciążenia hosta zgłoszony przez Wazuh zbieżny w czasie z ruchem na firewallu podnosi alert krytyczny.
  • Weryfikacja behawioralnaAutomatyczne sprawdzenie anomalii, np. liczby połączeń TCP SYN i ruchu ICMP.
  • Automatyczna blokadaZłośliwy adres IP trafia na czarną listę Fortigate przez API, bez ingerencji człowieka (Shuffle SOAR).

Efekt

Automatyzacja skraca czas od wykrycia do powiadomienia z kilkunastu minut do kilkudziesięciu sekund.

Zapytaj o pakiet
03

UTRZYMANIE

Fundament SOC (L1-L3)

Model
Ryczałt miesięczny
Licencje
Wazuh bez opłat, Graylog w subskrypcji
Cena
Wycena indywidualna

Dla kogo

Organizacje, które potrzebują stałego nadzoru nad bezpieczeństwem, ale nie potrzebują analityka przed monitorem przez całą dobę.

Zakres

  • L1: automatyzacja i triageGraylog SOAR łączy setki alertów w jeden incydent, procedury prowadzą przez weryfikację, a podsumowanie AI opisuje atak.
  • L2: analiza specjalistycznaBadanie wzorców ataków (np. TCP SYN Flood) i wspólnych cech botnetu na pulpitach analitycznych.
  • L3: hunting i Active ResponseProaktywne szukanie zagrożeń w logach FIM, izolacja hosta przez wazuh-execd i blokada IP na firewallu.
  • ZgodnośćRaporty RODO z mapowania reguł Wazuh i dowodowa historia zdarzeń.

Bez pustych przebiegów

Płacisz za nadzór i reakcję, a nie za czas analityka, który siedzi przed monitorem, gdy nic się nie dzieje.

Zapytaj o pakiet

Efekty

Przed i po wdrożeniu

Co zmienia zintegrowany system detekcji w codziennej pracy IT i bezpieczeństwa.

ObszarPrzed wdrożeniemPo wdrożeniu
Czas wykrywania (MTTD)Dni lub tygodnie, reakcja post factumCzas rzeczywisty: korelacja logów i analityka XDR
Widoczność zmian w plikach i procesachBrakPełna kontrola (wazuh-agentd, wazuh-syscheckd)
Zarządzanie logamiRozproszone, nieczytelne dane suroweSkonsolidowane i wzbogacone o kontekst biznesowy
Firewall podczas atakówSzczyty obciążenia przy zalewie ruchuOdciążenie dzięki Application Awareness
Zgodność z RODORęczne zbieranie dowodówRaporty z mapowania reguł do artykułów RODO

Architektura

Synergia Wazuh i Graylog

Model hybrydowy pozwala uniknąć kompromisów: każde narzędzie robi to, w czym jest najlepsze.

Wazuh

  • Indexer i Server: centralna analityka alertów (wazuh-analysisd).
  • Agenci na każdym hoście: komunikacja (wazuh-agentd) i selektywne zbieranie zdarzeń (wazuh-logcollector).
  • FIM, ocena konfiguracji (SCA) i wykrywanie podatności.

Graylog

  • Data Adapters: import zewnętrznych baz do wzbogacania logów.
  • Lookup Tables: zamiana kodów technicznych na czytelne opisy.
  • Pipeline Rules: kategoryzacja zdarzeń w locie, przed indeksacją.

Przepływ danych

  • Ingest: agenci Wazuh wysyłają logi z endpointów, a Fortigate syslogi sieciowe do Graylog.
  • Normalizacja: wspólny schemat pól dla JSON i Syslog.
  • Wzbogacanie: GeoIP i przynależność hosta do segmentu sieci (VLAN).

Jak pracujemy

Etapy budowy

  1. 01

    Audyt i projekt

    Segmentacja VLAN, zasoby VM (min. 16 GB RAM dla Indexera), retencja wg RODO. 1-2 dni.

  2. 02

    Infrastruktura

    Linux (Ubuntu/Debian), MongoDB dla Graylog, Indexer dla Wazuh. 2-3 dni.

  3. 03

    Rdzeń SIEM

    Wazuh Manager i Dashboard, Graylog jako centrum analityczne, Fluent-bit. 3-4 dni.

  4. 04

    Agenci

    Masowa dystrybucja na stacje Windows i Linux, FIM i skanowanie podatności. 2-4 dni.

  5. 05

    Tuning i alerty

    Dekodery, reguły eliminujące fałszywe alarmy, alerty e-mail i Teams. 4-6 dni.

  6. 06

    Integracja i SOAR

    Opcjonalnie: NGFW (Fortigate, Cisco Firepower) i Shuffle do automatycznej reakcji. 3-5 dni.

  7. 07

    Szkolenie

    Dashboardy Graylog (L1/L2) i procedury reagowania na incydenty krytyczne. 1-2 dni.

FAQ

Najczęstsze pytania

Usługi

Czy to pełny SOC 24/7?

Nie musi nim być. Pełny SOC to stałe polowanie na zagrożenia przez analityków przez całą dobę. Nasz model to fundament SOC: system czuwa stale, a człowiek interweniuje, gdy włączy się alarm. Brak analizy 24/7 kompensuje automatyczna reakcja (Active Response) - system może sam zablokować adres IP atakującego lub odizolować hosta, zanim zespół zdąży zareagować.

Ile kosztują licencje?

Wazuh to Open Source - bez opłat licencyjnych za agenta i wolumen danych. Graylog Security/Enterprise to płatna subskrypcja rozliczana według wolumenu logów (GB dziennie), potrzebna dla SOAR, podsumowań AI i korelacji zagrożeń. Całość zastępuje osobne rozwiązania EDR, SIEM i SOAR.

Ile trwa wdrożenie?

Zależy od liczby hostów i zakresu integracji. Przykładowo wdrożenie dla 400 hostów to około 320 roboczogodzin: od projektu architektury, przez instalację i dystrybucję agentów, po strojenie reguł i szkolenie zespołu.

Czy system pomaga w zgodności z RODO i NIS2?

Tak. Reguły silnika Wazuh są mapowane do artykułów RODO, co pozwala generować raporty zgodności, a centralizacja logów daje dowodową historię zdarzeń. System realizuje też wymóg monitorowania w trybie ciągłym z ustawy o KSC (art. 8 ust. 1 pkt 2 lit. g).

Blog

Czytaj więcej na blogu

Pozostałe działy

/ Kontakt

Porozmawiajmy o Twojej infrastrukturze

Pierwsza rozmowa jest bezpłatna i niezobowiązująca. Równowartość pierwszej godziny pracy z nowym klientem przekazujemy na cel charytatywny.

Skontaktuj się z nami +48 787 000 449
E-mailbiuro@sysadvisors.pl
Telefon+48 787 000 449
Krakówul. Marszałka Józefa Piłsudskiego 40/1a
Warszawaul. Fortel 12
LinkedIn/company/sysadvisors