Moim celem jest rozwój w obszarze SOC, DFIR i inżynierii bezpieczeństwa.
Budować, zabezpieczać, bronić.
Wokół tych trzech czasowników kręci się prawie wszystko, co robię. Mam za sobą wdrożenia w chmurze i administrację systemami, więc najpierw nauczyłem się stawiać infrastrukturę (architektury mikroserwisowe w AWS i Azure, bazy danych, cache, orkiestracja w Kubernetes) i automatyzować ją za pomocą pipeline'ów CI/CD w GitHubie i GitLabie.
Specjalizacja w cyberbezpieczeństwie skierowała tę praktykę w stronę podejścia DevSecOps: wbudowania kontroli w sam cykl wytwarzania oprogramowania, z analizą kodu, skanowaniem zależności i przeglądem kontenerów, zanim cokolwiek trafi na produkcję.
Potem nauczyłem się bronić tego, co zbudowałem.
Postawiłem kompletne środowiska Blue Team: SIEM na Wazuh z regułami detekcji, automatyzację reagowania przez SOAR, zapory OPNsense, EDR i VPN, a do tego honeypoty wystawione do internetu. To, że przychodzę z administracji systemami, daje mi tu przewagę: kiedy wiesz, jak wygląda zdrowa maszyna, znacznie szybciej wyłapujesz to, co odbiega od normy.
Ale tym, co naprawdę mnie wciąga, jest to, co dzieje się po ataku.
Mój honeypot codziennie przyjmuje prawdziwe próby włamania, a każda zostawia ślad do odtworzenia: którędy weszła, jakie polecenia wykonała, co pobrała i jak daleko zaszła. Opieram się przy tym na analizie pamięci i frameworku MITRE ATT&CK, który pozwala mi przypisać każdy ruch do znanych taktyk i technik.
A to, co z tego wychodzi, nie zostaje w laboratorium: zgłaszam atakujące adresy IP i przesyłam próbki malware na publiczne platformy threat intelligence, w tym kilka plików binarnych, których wcześniej nie odnotował żaden silnik antywirusowy.
Co więcej...
Porozmawiajmy o osiągnięciach i liczbach:
Dane zebrane z moich własnych honeypotów i laboratoriów, aktualne na sierpień 2026. Jeśli cię to interesuje, mogę szczegółowo opowiedzieć o każdym z tych zgłoszeń.
To Dirtylands, projekt na Cowrie + Dionaea, którego propozycją wartości jest szybkie wdrożenie. Działające polecenia, realistyczne środowisko, rzetelność i dojrzałość projektu. Jest też w pełni zdolny do zgłaszania każdego zdarzenia przez Telegram, a złośliwej aktywności do odpowiednich platform, i zapewnia obserwowalność.
Przetłumaczony na 5 języków: hiszpański, francuski, angielski, niemiecki i bułgarski.
Raport śledczy z labu "Sysinternals" z CyberDefenders.org. Obraz .E01 przeanalizowany w Autopsy i Registry Explorer, pobieranie przez HTTP podszywające się pod Microsoft, wykonanie jako SYSTEM, SHA-1 odzyskany z Amcache, trojan Rozena, C2 i persystencja przez usługę. Zawiera łańcuch dowodowy i wnioski z ekspertyzy.
Raport śledczy z przechwyconego ruchu sieciowego (.PCAP) komputera zainfekowanego przez Lumma Stealer. Analiza w Wiresharku, identyfikacja hosta przez DHCP i Kerberos, beaconing HTTP do C2, eksfiltracja skompresowanych poświadczeń i pięć złośliwych domen zweryfikowanych w VirusTotal. Zawiera IoC i łańcuch dowodowy.
Raport śledczy ze zrzutu pamięci RAM (.dmp) komputera przejętego przez StrelaStealer. Analiza w Volatility 3: osierocone procesy, łańcuch Living off the Land z PowerShellem, bezplikowe ładowanie DLL przez WebDAV, połączenie z C2 i wstrzyknięcie kodu do Thunderbirda w celu kradzieży poświadczeń.
Ćwiczenie 1: laboratorium IAM z Keycloak na Dockerze i WSL. Przepływy OAuth 2.0 i OpenID Connect, anatomia trzech tokenów, PKCE, introspekcja, rotacja i unieważnianie. Zawiera celowo wywołane błędy wraz z rzeczywistą odpowiedzią serwera.
Ćwiczenie 2: serwer zasobów w FastAPI, który weryfikuje tokeny JWT wystawione przez Keycloak na podstawie jego JWKS, sprawdzając podpis, wystawcę, odbiorcę, ważność i role. Zawiera sześć rodzajów celowo wywołanych błędów wraz z rzeczywistą odpowiedzią API.
Ćwiczenie 3: federacja Active Directory w Keycloak przez LDAPS. Kontroler domeny działa w Hyper-V, a Keycloak w Dockerze wewnątrz WSL2. Użytkownicy istniejący tylko w AD logują się przez OIDC, a ich atrybuty i grupy trafiają do tokena. Zawiera mappery, cykl życia i osierocone konta.
Honeypot wdrożony w Azure z dynamicznym port knockingiem przez iptables i alertami w Telegramie w czasie rzeczywistym.
Kompletny pipeline DevSecOps w GitLab CI/CD, który integruje SonarQube, GitLeaks, Snyk i OWASP ZAP, by kompleksowo sprawdzać jakość i bezpieczeństwo kodu. Status pipeline'u jest automatycznie zgłaszany w czasie rzeczywistym na Discordzie.
Migracja lift & shift do AWS (IaaS) wielowarstwowej aplikacji webowej w Javie, zbudowanej wcześniej lokalnie. Serwery Tomcat za Elastic Load Balancerem z Auto Scaling, MariaDB, Memcached i RabbitMQ jako usługi backendowe, prywatny DNS w Route 53, artefakty wdrażane z S3 i dostęp ograniczony przez IAM.
Wdrożenie zarządzanego klastra Kubernetes w AWS z EKS, począwszy od świeżo założonego konta. Wzmocnienie dostępu użytkownikami IAM i MFA, alarm rozliczeniowy w CloudWatch, VPC z publicznymi podsieciami, grupa węzłów z potrzebnymi rolami i prawdziwe błędy, które pojawiały się po drodze.
Projekt, w którym poznaję podstawy Ansible, przechodząc wszystkie moduły kursu na Udemy. Musiałem się też zmierzyć ze scenariuszem, w którym giną klucze .pem mojej maszyny EC2, i próbuję go rozwiązać.
Ten projekt na GitHubie jest częścią kursu "DevOps Beginners to Advanced" na Udemy. Polega na zbudowaniu strony internetowej z użyciem Vagranta, Nginx, Tomcata, RabbitMQ, Memcached i MySQL.
Projekt pokazuje budowę pipeline'u CI/CD na usługach AWS do zarządzania, kompilowania i wdrażania aplikacji webowej w AWS Elastic Beanstalk, z AWS CodePipeline, AWS CodeBuild i połączeniem z bazą danych AWS RDS. Jako repozytorium git kodu źródłowego służy Bitbucket.
Ten projekt na GitHubie jest częścią kursu "DevOps Beginners to Advanced" na Udemy. Nasz poprzedni projekt w AWS wdrażał wielowarstwową aplikację webową z Memcached, MySQL, Tomcatem, RabbitMQ i load balancerem. Teraz budujemy wszystko od nowa na usługach AWS, takich jak ElastiCache, Amazon MQ, RDS i Beanstalk.
