Sensor zgodności KSC
Widzi, co dzieje się w sieci, i wyjaśnia to po polsku.
Monitoring sieci i rejestr incydentów KSC działają już pierwszego dnia, bez projektu integracyjnego, bez agentów i bez wysyłania danych na zewnątrz.
- od podłączenia do raportu pierwszej doby
- 24 h
- integracji potrzebnych na start
- 0
- ataków wykrytych (korpus syntetyczny)
- 14/14
- 09:30:12DCSyncREJ-12 → DC-01 · AD-DCSYNC-01Atak na ADwewn.wysoka
- 09:30:05AS-REP roastingUSG-GIN-02 → DC-01 · AD-ASREP-01Atak na ADwewn.wysoka
- 09:29:58TelnetADM-02 → SW-CORE · NET-CLEAR-03Ryzykowny protokółwewn.średnia
- 09:29:51NTLM relaySERWIS-IT → DC-02 · NET-NTLMR-01Atak na ADwewn.wysoka
Podstawa wykrycia: reguła · bez udziału AI
TL;DR
Czym jest Bersec Gateway?
Bersec Gateway to sensor sieciowy instalowany we własnej serwerowni organizacji. Na kopii ruchu (SPAN/TAP) wykrywa ataki na Active Directory i ryzykowne protokoły oraz prowadzi rejestr incydentów KSC z ustawowymi terminami. Jest przeznaczony dla podmiotów objętych ustawą o KSC, z własnym SOC lub bez niego. Działa lokalnie, także offline, bez projektu integracyjnego; raport pierwszej doby jest gotowy po 24 h.
Korzyści
Mniejsze ryzyko kar, mniej ręcznej pracy i mniej projektów IT.
Liczby pochodzą z dokumentacji produktów i z ustawy o krajowym systemie cyberbezpieczeństwa. Szacunki i cele są wyraźnie oznaczone.
Finanse
do 10 mln €kary dla podmiotu kluczowego
Albo 2% rocznych przychodów, jeśli ta kwota jest wyższa. Podmiot ważny: do 7 mln € albo 1,4% przychodów.
art. 73 ust. 3 i 4 ustawy o KSC
do 300%wynagrodzenia kierownika
Karę można nałożyć osobiście na kierownika podmiotu. W podmiocie publicznym: do 100% wynagrodzenia.
art. 73a ustawy o KSC
36 miesięcygwarancji ceny
Dla zamówień złożonych do 31.12.2027 w Programie pierwszych wdrożeń. Decyzja o zakupie zapada po 30-dniowym pilotażu.
Bersec Gateway
Operacje
24 hdo raportu pierwszej doby
Po pierwszej dobie od podłączenia kopii ruchu: inwentaryzacja urządzeń, wykrycia, przestarzałe protokoły i mapa użycia AI.
Bersec Gateway
3 terminyKSC liczone automatycznie
Zegary 24 h, 72 h i miesiąc z uwzględnieniem dni wolnych i zmiany czasu (115 przypadków testowych). Projekty zgłoszeń w PDF i DOCX oraz pola do S46, bez ręcznego liczenia terminów.
Bersec Gateway
IT
0 agentówi bez zmian w sieci
Gateway pracuje na kopii ruchu (SPAN/TAP) i niczego nie wysyła do sieci produkcyjnej. Awaria sensora nie zatrzymuje sieci.
Bersec Gateway
1 maszyna wirtualnazamiast nowego sprzętu
Pakiet Start działa na istniejącym serwerze: 8 vCPU, 32 GB RAM, bez GPU.
Bersec Gateway
Istniejący SIEMi konta domenowe
Eksport zdarzeń do działającego już SIEM (sprawdzone: Vector, Wazuh, Graylog, Filebeat) i logowanie kontami domenowymi.
Bersec Gateway i Bersec One
Offlinebez chmury i telemetrii
Oba produkty działają we własnej serwerowni, także bez internetu. Aktualizacje są podpisane i mogą przyjść na nośniku.
Bersec Gateway i Bersec One
Kwoty kar: art. 73 i 73a ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252). Kary mogą być nakładane od 3.04.2028.
Dla kogo
Dwa rodzaje organizacji, jeden sensor.
Monitorowanie i rejestr KSC w jeden dzień
Gminy, powiaty, starostwa, szpitale powiatowe i inne podmioty ważne. Jeden lub dwóch administratorów, zapora i antywirus, a do tego obowiązki z ustawy o KSC.
Całodobowy dyżur może prowadzić partner SOC.
- Nikt nie widzi ruchu wewnątrz sieciWykrycia ataków na AD od pierwszej minuty, z opisem po polsku
- Terminy 24 h / 72 h / miesiącRejestr z zegarami i projekty dokumentów z dowodami, bez ręcznego liczenia terminów
- Audytor pyta o ciągłość monitorowaniaDzienny dowód ciągłości i podpisany eksport z weryfikatorem
- Pracownicy wysyłają dane do czatbotówMapa użycia AI według działu i konta; PESEL w ruchu (pakiet Pełny)
- Kierownik podmiotu potrzebuje krótkiej informacjiRaport tygodniowy dla kierownika podmiotu, kwartalny dla audytora
Sensor KSC dla istniejącego SOC
Urzędy centralne, duże szpitale, spółki komunalne i inne podmioty kluczowe. Gateway nie zastępuje NDR ani EDR, tylko działa obok nich jako sensor i warstwa KSC.
Na start: 30-dniowy pilotaż na jednym segmencie sieci.
- Ataki na AD w ruchu wewnętrznym (wschód-zachód)Detektory AD i protokołów na kopii ruchu, wyniki do SIEM
- Rejestr KSC niezależny od dostawcówRejestr, zegary, projekty dokumentów, łańcuch dowodowy
- DLP polskich identyfikatorówOdbiór odszyfrowanego ruchu z zapory (ERSPAN/VXLAN/GRE/Geneve)
- Dane nie mogą trafiać do dostawcyCałość lokalnie; AD tylko do odczytu, jawna lista atrybutów
- Obsługa przez partnera MSSPKonsola dla wielu organizacji, dane każdej z nich oddzielone
Wykrycia
Wykrycia, które da się wyjaśnić audytorowi.
Każdy alert wskazuje regułę i zdarzenia źródłowe. Bez „czarnej skrzynki”.
Reguły: od pierwszej minuty
9 / 9- DCSyncAD-DCSYNC-01
- KerberoastingAD-KERB-02
- AS-REP roastingAD-ASREP-01
- Pass-the-hashAD-PTH-03
- NTLM relayNET-NTLMR-01
- Ruch bocznyAD-LAT-04
- LLMNR / NBT-NS poisoningNET-LLMNR-02
- Enumeracja użytkowników KerberosAD-KENUM-01
- SMBv1 i protokoły jawneNET-SMB1-01
Podstawa wykrycia: reguła · bez udziału AI
Statystyka odporna: po 7 dniach uczenia
linia bazowa: 7 dni- Beaconing C2odchylenie +4,2σ
- Tunelowanie DNSodchylenie +3,6σ
- Nietypowa wysyłka danychodchylenie +5,1σ
- Nowe kierunki zagraniczneodchylenie +2,9σ
Rejestr KSC
Ustawowe terminy liczą się same.
Zegary 24 h, 72 h i miesiąca liczone według ustawy, z uwzględnieniem dni wolnych i zmiany czasu. Incydent kwalifikuje osoba uprawniona po ponownym potwierdzeniu tożsamości.
- Projekty wczesnego ostrzeżenia, zgłoszenia incydentu poważnego i sprawozdania (PDF/DOCX)
- 115 przypadków testowych logiki terminów
- Zgłoszenie w S46 przekazuje człowiek; produkt niczego nie wysyła sam
Pobranie skrótów haseł z kontrolera domeny (DCSync) ze stacji REJ-12
- Wczesne ostrzeżenie (24 h)Termin: 08.10.2026, 09:30 CESTw terminie12:15pozostało
- Zgłoszenie incydentu (72 h)Termin: 10.10.2026, 09:30 CEST⚠ termin przypada w dzień wolnyw terminie60:15pozostało
- Sprawozdanie końcowe (1 mies.)Termin: 07.11.2026, 09:30 CETw terminie29 d 12 hpozostało
Polskie DLP · pakiet Pełny
PESEL w drodze do czatbota? Gateway to widzi.
Gateway rozpoznaje PESEL, NIP, REGON, IBAN oraz numery dowodów osobistych i paszportów, sprawdzając sumę kontrolną. Same wartości nigdy nie są zapisywane jawnie.
- Odbiór kopii ruchu odszyfrowanego przez zaporę (ERSPAN, VXLAN, GRE, Geneve)
- Mapa użycia AI według działu i konta: ChatGPT, Gemini, DeepSeek, Ollama, serwery MCP
- ChatGPT191,3 MBdozwolonawysoka
- Gemini4667 kBpoza politykąwysoka
- DeepSeek251,9 kBpoza politykąwysoka
- Ollama1-bez ocenyheurystyka
Ollama: model lokalny w sieci organizacji (1 serwer)
Rozpoznanie po nazwie usługi i adresie; ilość danych przybliżona, treści nie są odczytywane
Suma kontrolna sprawdzona · wartości nie są zapisywane jawnie
dane syntetyczneDowody
Dowody, którym nie trzeba wierzyć na słowo.
Łańcuch skrótów z podpisanym dziennym korzeniem i wycinkami PCAP. Każdy eksport zawiera niezależny program bersec-verify dla Linuxa, Windows i macOS.
- Dzienny dowód ciągłości monitorowania
- Ostrzeżenie o przerwie w odbiorze ruchu
- Kopia do własnego magazynu WORM przez eksport
- Blok 098skrót ccde…c21dpoprz. f5c3…fcf8
- Blok 099skrót 3ee9…7747poprz. ccde…c21d
- Blok 100skrót 8265…2f11poprz. 3ee9…7747
- Blok 101skrót efd6…e9a1poprz. 8265…2f11
Widoczność
Widać, kto naprawdę sięgał do systemów.
Inwentaryzacja z nazwami
DHCP, Kerberos, NetBIOS, mDNS, LLMNR; producent ustalany z adresu MAC.
Systemy kluczowe
Kto, którym kanałem, skąd i kiedy, także poza godzinami pracy i z pominięciem PAM.
Dostęp zdalny dostawców
Rejestr 16 narzędzi z osobnym zatwierdzeniem dla każdego narzędzia i urządzenia.
Konta usługowe
Użycie ze stacji roboczych i na wielu urządzeniach, konta uśpione, RC4/DES.
Połączenia za granicę
Lokalna baza GeoIP w zestawie, bez zapytań na zewnątrz.
Modele lokalne i MCP
Automaty korzystające z AI, Ollama i serwery MCP w sieci.
Poziomy integracji
Można zacząć od zera, dosłownie.
Tylko kopia ruchu
- Potrzebne
- Port SPAN lub TAP, maszyna wirtualna
- Co działa
- Inwentaryzacja, wykrycia AD, protokoły, mapa AI, rejestr KSC, raporty
Dane uzupełniające
- Potrzebne
- Plik CSV działów
- Co działa
- Działy w inwentaryzacji, raportach i mapie AI
Active Directory, tylko odczyt
- Potrzebne
- Konto tylko do odczytu, LDAPS
- Co działa
- Grupy uprzywilejowane, kontrolery domeny, logowanie kontami domenowymi, bez skrótów haseł
Na każdym poziomie dane zostają w organizacji. Do pilotażu wystarcza poziom 0.
Integracje
Pasuje do istniejącej infrastruktury.
Konsola
Konsola Gateway w praktyce.
Wycena
Cena dopasowana do skali organizacji.
Cena zależy od skali i zakresu wdrożenia. Wycenę przygotowujemy po krótkiej rozmowie o potrzebach.
- Od czego zależy cenaOd liczby stanowisk, przepustowości sieci, wybranych regulacji i liczby obsługiwanych podmiotów.
- Co obejmuje licencjaRoczna licencja za organizację obejmuje aktualizacje przepisów, reguł i szablonów oraz wsparcie w dni robocze. Nowe przepisy nie wymagają nowego zlecenia.
- Najpierw pilotaż30 dni na własnych danych. Na koniec eksportujemy wyniki, usuwamy dane i wydajemy podpisane zaświadczenie o ich usunięciu. O zakupie decyduje się dopiero po pilotażu.
Program pierwszych wdrożeń Bersec Gateway: przy zamówieniu złożonym do 31.12.2027 cena jest gwarantowana przez 36 miesięcy.
FAQ
Pytania o Bersec Gateway.
Jak wdraża się Bersec Gateway?
Bersec Gateway instaluje się we własnej serwerowni, na maszynie wirtualnej lub serwerze, i podłącza do portu lustrzanego (SPAN) albo TAP-a, z którego odbiera kopię ruchu. Pracuje wyłącznie na tej kopii i nie wymaga agentów na stacjach roboczych. Dostępne są też Docker Compose, Helm/Kubernetes i pakiety DEB.
Jakie ataki wykrywa Bersec Gateway?
Od pierwszej minuty Bersec Gateway wykrywa regułami ataki na Active Directory: DCSync, Kerberoasting, AS-REP roasting, pass-the-hash, NTLM relay, ruch boczny i LLMNR/NBT-NS poisoning, a także SMBv1 i protokoły jawne. Po 7 dniach uczenia statystyka odporna wskazuje też beaconing C2, tunelowanie DNS i nietypową wysyłkę danych. Każdy alert wskazuje regułę i zdarzenia źródłowe.
Jak Bersec Gateway liczy terminy zgłoszeń incydentów KSC?
Rejestr KSC w Bersec Gateway uruchamia zegary 24 h, 72 h i miesiąca liczone według ustawy, z uwzględnieniem dni wolnych i zmiany czasu. Incydent kwalifikuje osoba uprawniona po ponownym uwierzytelnieniu, a Gateway przygotowuje projekty dokumentów (PDF/DOCX) z dowodami. Logikę terminów sprawdza 115 przypadków testowych.
Jakie dane rozpoznaje polskie DLP w Bersec Gateway?
Polskie DLP w pakiecie Pełnym rozpoznaje w ruchu PESEL, NIP, REGON, IBAN oraz numery dowodów osobistych i paszportów, z walidacją sumy kontrolnej. Wartości nigdy nie są zapisywane jawnie. Ruch szyfrowany Gateway analizuje na kopii odszyfrowanej przez zaporę (ERSPAN, VXLAN, GRE, Geneve).
Jak sprawdzić, że dowody z Bersec Gateway nie zostały zmienione?
Każdy eksport z Bersec Gateway zawiera niezależny program bersec-verify dla Linuxa, Windows i macOS, który sprawdza łańcuch skrótów z dziennym korzeniem podpisanym Ed25519. Każda zmiana w dowodach jest wykrywalna. Do długotrwałego przechowywania dowody można skopiować przez eksport do własnego magazynu WORM.
Jakiego sprzętu potrzebuje Bersec Gateway?
Pakiet Start działa na maszynie wirtualnej z 8 vCPU i 32 GB RAM (do 1 Gb/s). Pełny S wymaga serwera z GPU NVIDIA L4 (do 2 Gb/s), a Pełny M 32 rdzeni, 128 GB RAM i 48 GB pamięci GPU (do 20 Gb/s). Przepustowości to cel projektowy, potwierdzany testami.
Czy Bersec Gateway działa bez dostępu do internetu?
Tak. Bersec Gateway działa w sieci odciętej od internetu i nie nawiązuje połączeń wychodzących, dopóki administrator ich nie włączy. Aktualizacje reguł i modeli oraz licencje są dostarczane jako podpisane pliki offline, z możliwością wycofania, a baza GeoIP jest dołączona lokalnie.
Jak wygląda wycena Bersec Gateway?
Wycena Bersec Gateway jest indywidualna i zależy od liczby stanowisk, przepustowości sieci oraz wybranych modułów. Licencja jest roczna, za organizację, i obejmuje aktualizacje reguł i modeli oraz wsparcie w dni robocze. Przy zamówieniu złożonym do 31.12.2027 cena jest gwarantowana przez 36 miesięcy. Wycenę przygotowujemy po kontakcie.
Pilotaż na start
30 dni próby na własnych danych, bez ryzyka.
Wyniki widać na własnej sieci i własnych dokumentach. Na koniec eksportujemy dane, usuwamy je i wydajemy podpisane zaświadczenie o usunięciu.
kontakt@bersec.pl