SOC
Security Operations
SIEM, EDR/XDR, triage, analiza logów, threat hunting, MITRE ATT&CK i detection engineering.
Profil techniczno-operacyjny
Nie uczysz się listy narzędzi. Uczysz się prowadzić incydent od początku do końca.
Program został skoncentrowany na kompetencjach potrzebnych w codziennej pracy zespołów SOC, bezpieczeństwa infrastruktury, reagowania na incydenty, vulnerability management i GRC. Mniej fragmentacji, więcej laboratoriów, case studies i pracy na artefaktach.
IR
Incident Response i DFIR
Containment, evidence collection, timeline, ransomware, malware triage, Autopsy i Volatility.
IAM
Tożsamość i Zero Trust
Windows, Linux, Active Directory, Entra ID, MFA, Conditional Access, RBAC, PAM/PIM i hardening.
VM
Vulnerability Management
CVE, CWE, CVSS v3.1/v4.0, EPSS, CISA KEV, attack surface i walidacja remediation.
CLD
Cloud i Microsoft 365
Defender, Sentinel, CSPM, monitoring, secure configuration, Purview/DLP i cloud investigation.
AI
AI i automatyzacja
KQL, PowerShell, Python, regex, JSON/API, podstawy SOAR oraz bezpieczne wykorzystanie AI przez analityka.
MISJA_001
Ta strona ma słaby punkt. Znajdź go.
Wejdź do krótkiej gry, odkryj hasło ukryte w kodzie i sprawdź, czy myślisz jak specjalista ds. cyberbezpieczeństwa.
ZAGRAJ TERAZ
>_ cyber-lab / panel-dostepu
DOSTĘP ZABLOKOWANY
const access = locked; find(weak_point); inspect(source_code); unlock(access);
Rynek pracy 2026
Kompetencje, które buduje program
Rdzeń programu odpowiada zadaniom wykonywanym przez młodszych analityków SOC, specjalistów bezpieczeństwa, zespoły IR, vulnerability management oraz osoby wspierające GRC i KSC/NIS2.
1
Security Operations i analiza incydentów
SIEM, EDR/XDR, triage, analiza logów, eskalacja,
playbooki i dokumentacja incydentu.
Kluczowy
Kluczowy
2
Threat hunting i detection engineering
MITRE ATT&CK, KQL, Sigma, IOC/TTP,
korelacja zdarzeń i reguły detekcji.
Kluczowy
Kluczowy
3
Systemy, sieci i tożsamość
TCP/IP, DNS, HTTP/TLS, Windows/Linux,
AD/Entra ID, MFA, RBAC, Zero Trust, Sysmon.
Kluczowy
Kluczowy
4
Incident Response i DFIR
Containment, evidence collection, timeline,
forensics, ransomware i malware triage.
Kluczowy
Kluczowy
5
Vulnerability / exposure management
Asset inventory, CVE/CWE, CVSS, EPSS, KEV,
priorytetyzacja i remediation validation.
Kluczowy
Kluczowy
6
Cloud i Microsoft 365 Security
IAM, Entra ID, Defender, Sentinel,
CSPM, Purview/DLP i ochrona danych.
Bardzo ważny
Bardzo ważny
7
Automatyzacja pracy analityka
KQL, PowerShell, Python, regex,
JSON/API i podstawy SOAR.
Bardzo ważny
Bardzo ważny
8
GRC i regulacje
Risk assessment, ISO/IEC 27001,
KSC/NIS2, DORA, CRA,
ciągłość działania i audyt.
Bardzo ważny
Bardzo ważny
9
Application Security
OWASP Top 10:2025, Burp/ZAP,
API security, SAST/DAST/SCA,
SBOM i secure SDLC.
Ważny
Ważny
10
AI w cyberbezpieczeństwie
AI jako wsparcie SOC/IR oraz bezpieczeństwo
systemów AI z obowiązkową walidacją wyników.
Rosnące znaczenie
Rosnące znaczenie
13 przedmiotów · 200 godzin
Program studiów
Każdy moduł łączy wiedzę niezbędną do rozumienia środowiska z praktyką laboratoryjną. Rozwiń moduł, aby zobaczyć jego zakres.
Semestr I — fundamenty bezpieczeństwa i ochrona infrastruktury
100 h · 58 h praktyki01 Wprowadzenie do cyberbezpieczeństwa, role zawodowe, etyka i środowisko laboratoryjne 6 h 2 h praktyki
- krajobraz zagrożeń i podstawowe pojęcia bezpieczeństwa
- role zawodowe i ścieżki rozwoju
- odpowiedzialność, etyka i legalność działań
- maszyny wirtualne i zasady bezpiecznej pracy laboratoryjnej
02 Sieci komputerowe, protokoły i analiza ruchu sieciowego 16 h 10 h praktyki
- TCP/IP, DNS, DHCP, HTTP/HTTPS, TLS
- routing, NAT, firewalle i proxy
- Wireshark i analiza ruchu
- rozpoznawanie anomalii i śladów ataku
- Nmap i podstawy rozpoznania infrastruktury
- IDS/IPS i segmentacja sieci
03 Bezpieczeństwo Windows, Linux, Active Directory i Entra ID — IAM i hardening 24 h 16 h praktyki
- hardening Windows i Linux
- użytkownicy, grupy, role i uprawnienia
- Active Directory i ryzyka tożsamości
- Entra ID, MFA, Conditional Access i RBAC
- PAM/PIM
- PKI, certyfikaty i praktyczne zastosowanie kryptografii
- benchmarki CIS
- Windows Event Logs i Sysmon
- Zero Trust: verify explicitly, least privilege, assume breach
04 Cyberzagrożenia, phishing, malware i OSINT 12 h 8 h praktyki
- phishing, spear phishing, BEC i socjotechnika
- analiza nagłówków i załączników
- IOC i reputacja domen/IP
- podstawy threat intelligence
- malware triage: hash, strings, sandboxing
- podstawy YARA
- OSINT w analizie incydentów
05 Zarządzanie podatnościami i ekspozycją oraz podstawy testów penetracyjnych 18 h 14 h praktyki
- CVE, CWE, CVSS v3.1/v4.0 i EPSS
- Nmap i Greenbone/OpenVAS
- false positives i walidacja wyników
- remediation i patch management
- podstawy testów penetracyjnych i raportowanie
- attack surface management
- CISA KEV
- łączenie CVSS, EPSS, KEV, krytyczności i ekspozycji zasobu
- remediation validation i mierniki procesu
06 Zarządzanie bezpieczeństwem i ryzykiem — ISO/IEC 27001, KSC/NIS2, DORA, CRA i ciągłość działania 24 h 8 h praktyki
- aktywa, zagrożenia, podatności i ryzyko
- rejestr ryzyka i plan postępowania
- SZBI i ISO/IEC 27001
- KSC/NIS2 — obowiązki, incydenty i raportowanie
- DORA i CRA
- third-party risk i łańcuch dostaw
- BIA, backup, ciągłość działania i disaster recovery
- audyt i awareness
Semestr II — wykrywanie, reagowanie i odporność organizacji
100 h · 72 h praktyki07 Security Operations — SOC, SIEM, EDR/XDR, threat intelligence i detection engineering 24 h 17 h praktyki
- monitoring, alert, triage, investigation, eskalacja i closure
- SIEM oraz EDR/XDR
- MITRE ATT&CK, IOC i TTP
- Microsoft Sentinel i Defender XDR
- Wazuh/Elastic jako środowisko uzupełniające
- KQL w analizie zdarzeń
- threat hunting
- Sigma i reguły detekcji
- strojenie alertów i playbooki SOC
- korelacja telemetryki z wielu źródeł
08 Automatyzacja pracy analityka bezpieczeństwa — KQL, PowerShell, Python i SOAR 10 h 8 h praktyki
- KQL: filtrowanie, korelacja, wyszukiwanie i detekcje
- PowerShell do zadań bezpieczeństwa
- Python do analizy danych i logów
- regex, JSON i API
- SOAR, enrichment i automatyzacja reakcji
09 Reagowanie na incydenty, informatyka śledcza i ransomware 24 h 17 h praktyki
- preparation, identification, containment, eradication, recovery
- lessons learned
- evidence collection i chain of custody
- Windows Event Logs i timeline
- Autopsy
- Volatility
- phishing investigation i malware triage
- ransomware, lateral movement, persistence, exfiltration
- raport techniczny i raport dla kierownictwa
10 Bezpieczeństwo chmury i Microsoft 365 14 h 9 h praktyki
- shared responsibility model
- Azure i Microsoft 365
- Entra ID, MFA i Conditional Access
- Defender for Cloud / Defender XDR / Defender for Microsoft 365
- logowanie i monitoring
- CSPM i błędy konfiguracji
- cloud incident investigation
- secure configuration
- Microsoft Purview, klasyfikacja informacji i DLP
11 Bezpieczeństwo aplikacji i DevSecOps 10 h 6 h praktyki
- OWASP Top 10:2025
- OWASP Juice Shop
- Burp Suite lub OWASP ZAP
- API security
- SAST, DAST i SCA
- sekrety i zależności
- secure SDLC, CI/CD i bezpieczeństwo kontenerów
- software supply chain security
- SBOM
- bezpieczeństwo pipeline CI/CD
12 AI w cyberbezpieczeństwie i bezpieczeństwo systemów AI 6 h 3 h praktyki
- AI jako wsparcie analizy alertów, logów i IOC
- AI w threat detection i response
- prompt injection i data leakage
- bezpieczeństwo RAG, modeli i API
- AI governance i prywatność
- AI w laboratoriach SOC/IR
- obowiązkowa weryfikacja i dokumentowanie wyników AI
13 Projekt końcowy — symulacja cyberataku na organizację 12 h 12 h praktyki
- zespołowa analiza scenariusza incydentu
- triage na podstawie logów i alertów
- timeline i MITRE ATT&CK
- zabezpieczenie dowodów i zakres kompromitacji
- containment, remediation i recovery
- ocena ryzyka i obowiązków raportowych
- raport techniczny i briefing dla zarządu
200 godzin łącznie
130 godzin praktyki
65% programu praktycznego
13 przedmiotów
Środowisko Security Operations
Laboratoria na narzędziach używanych w praktyce
Główny ekosystem laboratoryjny: Microsoft Sentinel + Defender XDR + Entra ID. Uzupełniająco wykorzystywany jest otwarty stos Wazuh/Elastic oraz narzędzia do sieci, AppSec, podatności i DFIR.
Przykładowe zadania
- analiza ruchu w Wireshark
- skanowanie i rozpoznanie infrastruktury z Nmap
- Greenbone/OpenVAS i priorytetyzacja podatności
- hardening Windows i Linux
- AD/Entra ID, MFA, role i uprawnienia
- analiza alertów Sentinel/Defender XDR
- KQL, Sigma i proste detekcje
- threat hunting i MITRE ATT&CK
- phishing, malware triage i YARA
- Autopsy, Volatility i podstawy DFIR
- PowerShell, Python i automatyzacja
- symulacja ransomware i Capture The Flag
Narzędzia i technologie
Microsoft Sentinel
Defender XDR
Entra ID
KQL
Wazuh
Elastic
Wireshark
Nmap
Greenbone / OpenVAS
Sysmon
Windows Event Logs
MITRE ATT&CK
Sigma
YARA
Autopsy
Volatility
OWASP Juice Shop
Burp Suite / ZAP
PowerShell
Python
Purview / DLP
CVSS
EPSS
CISA KEV
SBOM / SCA
Case-based learning
5 obowiązkowych case studies
Przed projektem końcowym uczestnicy kilkukrotnie przechodzą przez pełny tok analizy, podejmowania decyzji i dokumentowania wyniku.
Phishing / BEC
Wiadomość i nagłówki → IOC → ryzyko → decyzja o reakcji → ticket / raport.
Podejrzany endpoint
Sysmon/EDR → procesy parent/child → MITRE ATT&CK → triage → eskalacja.
Podatność krytyczna
CVE → CVSS → EPSS → KEV → krytyczność zasobu → priorytet remediation.
Microsoft 365
Entra ID → logowanie → MFA → logi → Conditional Access → rekomendacja.
Ransomware
SIEM/EDR → lateral movement → zakres kompromitacji → containment → recovery → raport.
Dowód umiejętności
Portfolio absolwenta
Studia kończysz nie tylko ocenami. Budujesz zestaw technicznych artefaktów, które pokazują, że potrafisz przeanalizować rzeczywisty problem bezpieczeństwa.
Raport z vulnerability assessment z priorytetyzacją
Dokument hardeningu Windows / Linux
Analiza alertu SIEM i wynik triage
Własne zapytanie KQL i reguła Sigma
Raport z threat huntingu
Analiza phishingu lub podejrzanego załącznika
Raport z incydentu i timeline
Artefakt DFIR z Autopsy lub Volatility
Rejestr ryzyka i plan postępowania
Fragment dokumentacji SZBI / ISO 27001
Plan reagowania na ransomware i ciągłość działania
Końcowy raport techniczny i executive security report
Organizacja studiów
Weekendowo, hybrydowo i laboratoryjnie
01 · CZAS
2 semestry · 200 godzin
Około 12–13 weekendowych zjazdów. Minimum 30 ECTS.
02 · FORMA
Online live + laboratoria
Zajęcia online na żywo oraz 2 stacjonarne zjazdy laboratoryjne.
03 · PRAKTYKA
130 godzin · 65%
Praktyka osadzona w każdym kluczowym module, a nie wydzielona jako osobny dodatek.
04 · GRUPY
Maks. 18–20 osób
Przy najbardziej złożonych laboratoriach rekomendowany jest wykładowca + asystent.
05 · DLA OSÓB SPOZA IT
Kurs przygotowawczy 20–24 h
Po teście diagnostycznym, poza zasadniczymi 200 godzinami programu.
06 · PROJEKT
Symulacja pełnego incydentu
Od phishingu i przejęcia konta po lateral movement, ransomware, reakcję i raport dla zarządu.
Po studiach
Role, do których przygotowuje program
Program ma przygotowywać do rozpoczęcia lub rozwinięcia pracy w rolach juniorskich i operacyjnych, bez obiecywania pełnej samodzielności w wąskich specjalizacjach eksperckich.
Najbardziej naturalne ścieżki
- Junior SOC Analyst / Security Operations Analyst
- młodszy specjalista ds. cyberbezpieczeństwa
- młodszy specjalista ds. reagowania na incydenty
- Vulnerability Management Analyst — junior
- specjalista ds. bezpieczeństwa informacji / młodszy GRC
- specjalista wspierający KSC/NIS2 i ISO/IEC 27001
- administrator systemów rozwijający się w kierunku security
Możliwe ścieżki certyfikacyjne
Techniczna: przygotowanie kierunkowe do Microsoft SC-200 — Security Operations Analyst.
GRC: ISO/IEC 27001 Foundation albo Audytor Wewnętrzny ISO/IEC 27001.
Studia dają także fundament do dalszej specjalizacji w pentestingu, cloud security, DevSecOps i DFIR.
Cena studiów
Pełny koszt podany od razu.
Jedna czytelna cena za cały tok studiów. Bez doliczania wpisowego ponad prezentowaną kwotę.
Przejdź do rekrutacji
Za całe studia
7 800 zł
Wpisowe wliczone w cenę.
200 godzin · 2 semestry · 65% zajęć praktycznych
Kadra praktyków
Uczysz się od ekspertów, którzy pracują w cyberbezpieczeństwie.
Zajęcia prowadzą praktycy aktywnie działający w obszarze cyberbezpieczeństwa, zarządzania bezpieczeństwem informacji, reagowania na zagrożenia, audytu, zarządzania ryzykiem i zgodności regulacyjnej.
>_
Wśród wykładowców m.in. tacy eksperci jak:
01
Marta Bagińska
Ekspertka ds. bezpieczeństwa informacji, audytorka i edukatorka specjalizująca się w cyberbezpieczeństwie. Od 2017 roku związana z branżą IT. Certyfikowana audytorka wewnętrzna i wiodąca Systemu Zarządzania Bezpieczeństwem Informacji zgodnie z normą ISO/IEC 27001.
W swojej działalności zawodowej koncentruje się na zapewnianiu zgodności systemów informatycznych z wymaganiami norm oraz dobrymi praktykami w zakresie bezpieczeństwa informacji, łącząc wiedzę ekspercką z praktycznym podejściem do zarządzania cyberbezpieczeństwem.
02
Aleks Konopacki
Analityk SOC w sektorze bankowym i pasjonat cyberbezpieczeństwa, który na co dzień stoi na straży cyfrowych systemów. Specjalizuje się w wykrywaniu zagrożeń, analizie incydentów oraz automatyzacji procesów bezpieczeństwa (SIEM/SOAR).
Certyfikowany specjalista (m.in. eJPT), dla którego bezpieczeństwo to nie tylko teoria z podręczników, ale przede wszystkim codzienna, inżynieryjna praktyka. Na zajęciach pokazuje, jak realnie wygląda ochrona współczesnych organizacji i odpieranie cyberataków.
03
Paweł Ładna
Ekspert i konsultant w obszarze cyberbezpieczeństwa, specjalizujący się w zarządzaniu bezpieczeństwem i ryzykiem GRC oraz zgodności z wymaganiami regulacyjnymi.
W swojej pracy koncentruje się m.in. na zarządzaniu ryzykiem, wymaganiach ISO/IEC 27001 oraz regulacji DORA.
04
Izabela Taborowska
Ekspertka cyberbezpieczeństwa i IT z ponad 20-letnim doświadczeniem w branży technologicznej. Swoją karierę rozpoczynała w cyberbezpieczeństwie, pracując przy jednym z pierwszych produktów z rodziny Norton.
Specjalizuje się w bezpieczeństwie organizacji, rozwiązaniach tworzonych w kulturze DevSecOps oraz zarządzaniu cyberbezpieczeństwem i odpornością biznesową. Audytorka wiodąca ISO 27001 i ISO 22301 oraz audytorka wewnętrzna ISO 42001 i TISAX. Stoi na czele CyberClue, rozwijając podejście do cyberbezpieczeństwa 360°.
05
Jędrzej Trzciński
Ekspert i konsultant w obszarze cyberbezpieczeństwa, związany z branżą od 2012 roku. Odpowiadał za bezpieczeństwo w dużych organizacjach z sektora mediów i nowych technologii, realizując zadania związane z zarządzaniem bezpieczeństwem informacji.
Współzałożyciel i szef Grupy Roboczej Cyberbezpieczeństwo IAB Polska, aktywnie związany ze środowiskiem ekspertów bezpieczeństwa.
06
dr inż. Michał Turek, prof. AGH
Informatyk i wieloletni nauczyciel akademicki, twórca i kierownik Laboratorium Sieci Komputerowych i Sieciowych Systemów Multimedialnych. Specjalizuje się w sieciach komputerowych, programowaniu systemów sieciowych oraz architekturze systemów informatycznych.
Od ponad 20 lat prowadzi zajęcia i szkolenia z technologii sieciowych, łącząc zagadnienia projektowania i konfiguracji sieci z praktycznymi mechanizmami kontroli i bezpieczeństwa ruchu sieciowego.
>_
Praktyczna wiedza.
Aktualne regulacje. Doświadczenie z realnych organizacji.
FAQ
Najczęściej zadawane pytania
Czy trzeba pracować w IT, żeby rozpocząć studia?
Nie jest to warunek formalny wynikający z opisu programu,
ale program ma techniczno-operacyjny profil.
Dla osób bez podstaw informatycznych rekomendowany jest
kurs przygotowawczy 20–24 h
poprzedzony testem diagnostycznym.
Ile zajęć ma charakter praktyczny?
130 z 200 godzin, czyli 65% programu.
Praktyka jest osadzona w modułach:
sieci, systemy, SOC/SIEM, DFIR,
vulnerability management, chmura,
AppSec, automatyzacja i projekt końcowy.
Jak wygląda projekt końcowy?
Zespół otrzymuje środowisko organizacji i ślady ataku.
Zadaniem jest m.in. triage, timeline,
MITRE ATT&CK, zabezpieczenie dowodów,
ocena zakresu kompromitacji,
containment, remediation, recovery
oraz przygotowanie raportu technicznego
i briefingu dla zarządu.
Jakich narzędzi używa się na zajęciach?
Głównym środowiskiem Security Operations jest
Microsoft Sentinel + Defender XDR + Entra ID.
Uzupełniająco program wykorzystuje m.in.
Wazuh/Elastic, Wireshark, Nmap,
Greenbone/OpenVAS, Sysmon, Sigma, YARA,
Autopsy, Volatility, OWASP Juice Shop
i Burp Suite/ZAP.
Czy studia przygotowują do SC-200?
Program jest kierunkowo spójny z kompetencjami
profilu Microsoft Security Operations Analyst:
triage, incident response, threat hunting,
detection engineering, Sentinel,
Defender XDR i KQL.
Egzamin certyfikacyjny jest odrębnym procesem.
Czy 7 800 zł obejmuje wpisowe?
Tak. Cena 7 800 zł jest pełnym kosztem studiów
i obejmuje wpisowe.
