# Wykrywanie ataków na grafach pochodzenia zdarzeń systemowych

EN: **Provenance-graph-based intrusion detection** · id `provenanceids` · aliases: provenance-based intrusion detection, PIDS, APT detection with provenance graphs, system provenance analysis, wykrywanie APT na grafach pochodzenia

Path: [AI Atlas](https://aiatlasgraph.com/llms.txt) › [AI w cyberbezpieczeństwie](https://aiatlasgraph.com/t/cyberai.md) › [Wykrywanie zagrożeń i włamań](https://aiatlasgraph.com/t/threatdetection.md) › Wykrywanie ataków na grafach pochodzenia zdarzeń systemowych

## Description

- PL: Wykrywanie długotrwałych, ukrytych ataków przez analizę grafów zależności między procesami, plikami i połączeniami sieciowymi w systemie operacyjnym.
- EN: Detecting long-running stealthy attacks by analysing dependency graphs between processes, files and network connections in an operating system.

## In one sentence

- PL: Rysowanie mapy, który program co otworzył, zapisał i z kim się łączył, i szukanie na niej śladów cichego włamania.
- EN: Drawing a map of which program opened, wrote and contacted what, and searching it for traces of a quiet break-in.

## Problem it solves

- PL: Zawodowi włamywacze działają powoli przez tygodnie, a każdy ich krok osobno wygląda jak zwykła praca systemu.
- EN: Professional intruders move slowly over weeks, and each step on its own looks like normal system activity.

## What it does

- PL: Jak detektyw łączący nitkami zdjęcia na tablicy: pojedynczy fakt nic nie mówi, ale cały łańcuch powiązań zdradza plan.
- EN: Like a detective linking photos on a board with string: one fact says nothing, but the whole chain of links reveals the plan.

## Everyday example

- PL: Edytor tekstu uruchamia wiersz poleceń, ten pobiera plik, a tydzień później coś wysyła archiwa za granicę; system łączy te kroki w jedną historię.
- EN: A word processor launches a command line, which downloads a file, and a week later something sends archives abroad; the system links these steps into one story.

## This concerns you if you…

- PL: Analizujesz zależności między zdarzeniami systemowymi.
- PL: Bronisz hostów Linux.
- PL: Budujesz warstwę dochodzeniową opartą na pochodzeniu danych.
- EN: You analyze dependencies among system events.
- EN: You defend Linux hosts.
- EN: You build a provenance-based investigation layer.

## Keywords

UNICORN · data provenance · provenance graph · auditd · graph sketching · attack investigation · long-running system

## How it works

- PL: System zamienia zdarzenia audytowe w ewoluujący graf pochodzenia, łączący procesy, pliki i komunikację. UNICORN kompresuje aktywność do szkiców grafu i porównuje je z modelem normalnego zachowania, aby wykrywać odstępstwa i wspierać dochodzenie.
- EN: The system turns audit events into an evolving provenance graph connecting processes, files, and communication. UNICORN compresses activity into graph sketches and compares them with a model of normal behavior to detect deviations and support investigation.

## Limits

- PL: Graf pochodzenia rośnie wraz z czasem działania systemu, a kompresja do szkiców traci część szczegółów. Model normalnego zachowania musi nadążać za zmianami środowiska; abstrakt UNICORN nie podaje jednej uniwersalnej miary skuteczności dla wszystkich wdrożeń.
- EN: A provenance graph grows with system runtime, and sketch compression loses some detail. The model of normal behavior must track environmental change; the UNICORN abstract does not provide one universal effectiveness measure for all deployments.

## Key terms

- PL: **graf pochodzenia**: Zapis, które procesy działały na których plikach i połączeniach.
- PL: **APT**: Zaawansowany, długotrwały atak zwykle prowadzony przez dobrze zorganizowaną grupę.
- PL: **szkic grafu**: Zwarty liczbowy skrót dużego grafu ułatwiający porównania.
- EN: **provenance graph**: A record of which processes acted on which files and connections.
- EN: **APT**: An advanced, long-running attack usually by a well-organised group.
- EN: **graph sketch**: A compact numeric summary of a large graph that eases comparison.

## Know first

- [Wykrywanie anomalii i nowości (Outlier and novelty detection)](https://aiatlasgraph.com/t/anomalydetection.md)

## Sources

- [UNICORN: Runtime Provenance-Based Detector for Advanced Persistent Threats](<https://arxiv.org/abs/2001.01525>) `han-unicorn-provenance-apt-2020` · by Xueyuan Han, Thomas Pasquier, Adam Bates, James Mickens, Margo Seltzer

---

AI Atlas revision 122 (2026-10-30) · HTML: https://aiatlasgraph.com/t/provenanceids · index: https://aiatlasgraph.com/llms.txt · everything: https://aiatlasgraph.com/llms-full.txt · updated 2026-10-30