Scenariusz ćwiczebny (fikcyjny): co się dzieje, gdy wiele incydentów różnego typu nadchodzi jednocześnie, a nie pojedynczo. Ta strona demonstruje model triage masowego i skalowania metodologii sztabu — nie jest opisem realnego wydarzenia ani deklaracją zdolności obronnej.
Pojedynczy incydent da się obsłużyć liniowo: zgłoszenie, triage, analiza, decyzja. Trudniejsze pytanie metodologiczne brzmi: co się dzieje, gdy wiele niepowiązanych sygnałów — podatność techniczna, próba nadużycia modelu AI, fala dezinformacji, anomalia u dostawcy w łańcuchu — przychodzi w tym samym oknie czasowym? Ten scenariusz jest w całości fikcyjny i syntetyczny, zbudowany po to, żeby przetestować jedną rzecz: czy model sztabu (opisany na stronie sztabu obrony) daje się skalować bez utraty dyscypliny — priorytetyzacji, logu decyzji i obowiązkowej ścieżki eskalacji do człowieka. Nie opisujemy tu żadnego realnego zdarzenia, żadnej realnej ofiary ani żadnego realnego sprawcy.
Model zakłada cztery równoległe strumienie zdarzeń syntetycznych, każdy wzorowany na innej kategorii ryzyka z literatury GRC/MITRE, bez odwzorowania konkretnego, realnego wydarzenia:
Seria podatności/findingów ze skanerów wymagająca wzbogacenia CVSS/EPSS/KEV i budowy evidence-package w krótkim czasie.
Próby nadużycia modelu (prompt injection, jailbreak) wykrywane przez warstwę obronną AI-firewall — testowane wyłącznie na danych syntetycznych.
Fala treści wymagających weryfikacji faktów/źródeł — zadanie dla panelu wielogłosowej oceny, nie dla pojedynczego automatu.
Anomalia u dostawcy/komponentu (SBOM, zależność zewnętrzna) wymagająca oceny wpływu na własne środowisko, nie na cudzą infrastrukturę.
Cztery strumienie naraz to w tym ćwiczeniu parametr modelu, nie prognoza ani ostrzeżenie. Celem jest sprawdzenie procedury triage masowego, nie „przewidywanie ataku".
W modelu jednego incydentu koordynator (opisany na stronie sztabu) przydziela jedną rolę do jednego zgłoszenia. Przy wielu strumieniach naraz procedura się nie zmienia jakościowo — zmienia się kolejność. Triage masowy w tym ćwiczeniu opiera się na trzech pytaniach zadawanych do każdego sygnału, zanim trafi on do kolejki:
Kluczowa zasada tego modelu: priorytetyzacja nie oznacza pomijania. Każdy sygnał — nawet z najniższym priorytetem — zostaje zalogowany i przypisany do kolejki; różni się jedynie kolejność obsługi, nie fakt rejestracji. To odróżnia triage od ignorowania.
Pytanie ćwiczebne brzmi: co się dzieje z modelem gotowości (BASELINE/ELEVATED/FULL ze strony sztabu), gdy cztery strumienie aktywują FULL jednocześnie? W tym scenariuszu zakładamy, że rola (nie pojedynczy proces) jest jednostką skalowania: jedna rola „analiza dowodowa" może zostać uruchomiona równolegle N razy — po jednej instancji na strumień — pod nadzorem jednego koordynatora, który utrzymuje wspólny log decyzji.
| Parametr modelu | 1 incydent | 4 strumienie naraz (ćwiczenie) | Co się NIE zmienia |
|---|---|---|---|
| Liczba instancji roli „analiza dowodowa" | 1× | do 4× równolegle (model) | Format evidence-package i wymóg hash/chain-of-custody — identyczny dla każdej instancji. |
| Koordynator (orchestrator) | 1 | 1 (wspólny log, nie 4 osobne) | Zasada jednego źródła prawdy o priorytetach — bez tego triage masowy się rozpada. |
| Ścieżka eskalacji do człowieka | obowiązkowa | obowiązkowa dla każdego strumienia | Żaden strumień nie omija decyzji człowieka przy progu prawnym/reputacyjnym — nawet pod presją czasu. |
| Panel weryfikujący wniosek | 1 przebieg | 1 przebieg na strumień (nie skrócony) | Wielogłosowa ocena nie jest pomijana, żeby „przyspieszyć" — to złamałoby doktrynę claim ≤ proof. |
To, co skaluje się w modelu, to liczba równoległych instancji roli. To, co się nie skaluje — celowo — to liczba koordynatorów utrzymujących spójny log oraz obowiązek ścieżki do człowieka. Rój ≠ rejestr: więcej instancji roboczych nie oznacza więcej niezależnych, niepowiązanych ośrodków decyzji.
Rama strategiczna dla tego ćwiczenia — wyłącznie jako zasada organizacyjna, nie źródło technik ofensywnych: chaos wielu jednoczesnych sygnałów jest problemem dla zespołu improwizującego, a okazją dla zespołu z przećwiczoną procedurą triage i playbookami gotowymi przed zdarzeniem. Elastyczność w tym modelu oznacza zdolność przełączenia kolejności bez utraty dyscypliny logowania — nie zdolność do działań poza własnym środowiskiem testowym. „Znać siebie" w scenariuszu multi-wektor oznacza rzetelną wiedzę o własnej zdolności przerobowej (ile instancji roli realnie da się uruchomić i nadzorować jednym logiem), nie deklarację nieograniczonej skali.
Cztery strumienie opisane wyżej odpowiadają kategoriom taktyk znanym z ram takich jak MITRE ATT&CK i doktryny GRC (dostęp/tożsamość, integralność łańcucha dostaw, nadużycie modelu AI, manipulacja informacją) — nie konkretnym aktorom czy krajom. Ta strona świadomie nie przypisuje żadnego z czterech strumieni żadnemu państwu, grupie ani podmiotowi. Jeśli w materiałach szkoleniowych K0NSULT pojawia się uproszczenie typu „wektor wschodni" czy „wektor zachodni", jest to wyłącznie model geograficzny do celów warsztatu o zróżnicowaniu wzorców ruchu sieciowego — nie deklaracja polityczna, wywiadowcza ani atrybucja sprawcy. Atrybucja realnego incydentu wymaga formalnego dochodzenia właściwych służb, nigdy modelu ćwiczebnego.
Powiązane: model sztabu i stany gotowości → /sztab-obrony · zasady zaangażowania → /engagement · rejestr znanych ograniczeń → /known-limitations.