# Wykrywanie włamań w ruchu sieciowym

EN: **Machine-learning network intrusion detection** · id `networkids` · aliases: ML-based NIDS, network anomaly detection, flow-based intrusion detection, wykrywanie anomalii w sieci, NIDS

Path: [AI Atlas](https://aiatlasgraph.com/llms.txt) › [AI w cyberbezpieczeństwie](https://aiatlasgraph.com/t/cyberai.md) › [Wykrywanie zagrożeń i włamań](https://aiatlasgraph.com/t/threatdetection.md) › Wykrywanie włamań w ruchu sieciowym

## Description

- PL: Klasyfikatory i detektory anomalii uczone na przepływach i pakietach sieciowych, odróżniające ruch normalny od ataków.
- EN: Classifiers and anomaly detectors trained on network flows and packets, separating normal traffic from attacks.

## In one sentence

- PL: Modele, które obserwują połączenia w sieci firmy i zauważają te, które wyglądają na skanowanie, włamanie lub wyprowadzanie danych.
- EN: Models that watch connections on a company network and notice those that look like scanning, break-ins or data theft.

## Problem it solves

- PL: Przez sieć firmy przechodzą miliony połączeń dziennie, a atakujący ukrywa się wśród nich, używając zwykłych protokołów.
- EN: Millions of connections cross a company network daily, and an attacker hides among them using ordinary protocols.

## What it does

- PL: Jak ochroniarz na parkingu, który zna rytm dnia: zauważa auto krążące wokół budynku dziesiąty raz, choć każdy przejazd z osobna jest niewinny.
- EN: Like a car-park guard who knows the day's rhythm: notices a car circling the building for the tenth time, though each pass alone is innocent.

## Everyday example

- PL: Komputer w księgowości nagle łączy się po kolei z setkami innych maszyn w sieci; system oznacza to jako możliwe rozprzestrzenianie się ransomware.
- EN: An accounting PC suddenly connects to hundreds of other machines in turn; the system flags it as possible ransomware spreading.

## This concerns you if you…

- PL: administrujesz siecią firmową
- PL: uczysz się wykrywania anomalii na prawdziwych danych
- PL: oceniasz narzędzia do monitoringu sieci
- EN: administer a company network
- EN: are learning anomaly detection on real data
- EN: evaluate network monitoring tools

## Keywords

NetFlow · Zeek · CICIDS2017 · UNSW-NB15 · autoencoder · isolation forest · graph neural networks · lateral movement detection

## How it works

- PL: Sondy sieciowe zamieniają ruch na rekordy przepływów z cechami, takimi jak czas, liczba bajtów, porty i flagi. Na tych danych uczy się klasyfikator znanych ataków albo model normalnego ruchu wykrywający odstępstwa.
- EN: Network sensors turn traffic into flow records with features such as duration, byte counts, ports and flags. An attack classifier or a model of normal traffic that flags deviations is then trained on those records.

## Limits

- PL: Ataki są rzadkie, ruch normalny bardzo zmienny, a koszt fałszywego alarmu wysoki. Założenia laboratoryjne i rozkłady danych w benchmarkach często nie odpowiadają sieciom operacyjnym, dlatego wynik z publikacji nie gwarantuje skuteczności po wdrożeniu.
- EN: Attacks are rare, normal traffic is highly variable and false alarms are costly. Laboratory assumptions and benchmark data distributions often do not match operational networks, so a published score does not guarantee deployed performance.

## Key terms

- PL: **przepływ sieciowy**: Podsumowanie jednego połączenia: kto, z kim, ile danych, jak długo.
- PL: **ruch wschód–zachód**: Połączenia między maszynami wewnątrz tej samej sieci.
- PL: **detekcja anomalii**: Szukanie tego, co odbiega od wyuczonego obrazu normalności.
- EN: **network flow**: A summary of one connection: who, with whom, how much data, how long.
- EN: **east–west traffic**: Connections between machines inside the same network.
- EN: **anomaly detection**: Looking for what departs from the learned picture of normal.

## Know first

- [Wykrywanie anomalii i nowości (Outlier and novelty detection)](https://aiatlasgraph.com/t/anomalydetection.md)
- [Metryki klasyfikacji i regresji (Classification and regression metrics)](https://aiatlasgraph.com/t/classmetrics.md)

## Sources

- [Outside the Closed World: On Using Machine Learning for Network Intrusion Detection](<https://ieeexplore.ieee.org/document/5504793>) `sommer-paxson-closed-world-2010` · by Robin Sommer, Vern Paxson
- [Dos and Don'ts of Machine Learning in Computer Security](<https://arxiv.org/abs/2010.09470>) `arp-dos-donts-ml-security-2020` · by Daniel Arp, Erwin Quiring, Feargus Pendlebury, Alexander Warnecke, Fabio Pierazzi, Christian Wressnegger, Lorenzo Cavallaro, Konrad Rieck

---

AI Atlas revision 122 (2026-10-30) · HTML: https://aiatlasgraph.com/t/networkids · index: https://aiatlasgraph.com/llms.txt · everything: https://aiatlasgraph.com/llms-full.txt · updated 2026-10-30