Informacje o wydaniu: wydanie wrzesień 2026

Data wydania: 17 września 2026 Grupa docelowa: administratorzy enterprise, SRE i CISO

To wydanie obejmuje wszystkie zmiany dostarczone między wydaniem agenta StateWarden 1.2.0 (13 lipca 2026) a 17 września 2026. Główną nowością jest Ransomware Protection (Active Defense): agenci wykrywają teraz wzorce zapisu klasy ransomware podczas tworzenia kopii zapasowych i autonomicznie wykonują konfigurowalną politykę reagowania, aż po blokadę sieci dotkniętego hosta włącznie. Wydanie dodaje również raport dowodowy Audit Pack dla audytów NIS2/KSC/BSIG, stronę kokpitową Przegląd Realmu, propagację epoki klucza w całym łańcuchu kopii zapasowych, rygorystyczne raportowanie nieudanych kopii oraz zestaw flotowych poprawek skanowania Vigil.

Informacje o dostępności dla wdrożeń etapowych znajdują się na końcu tego dokumentu; nie każda wersja komponentu jest powszechnie dostępna w chwili publikacji.

Ransomware Protection (Active Defense)

Autonomiczne reagowanie na ransomware (Agent 1.5.0, 8 września)

Wykrywanie oparte na entropii w potoku kopii zapasowych: zmienione bloki są analizowane pod kątem wzorców zapisu o wysokiej entropii podczas przebiegu kopii zapasowej. Progi wykrywania są konfigurowalne: minimalna liczba zmienionych bloków (domyślnie 50, około 50 MB), pułap entropii (domyślnie 7.8 w skali 0-8) oraz współczynnik zmienionych danych (domyślnie 0.90 - 90% zmienionych danych musi pasować do wzorca).
Wykonawca reakcji: po wykryciu agent natychmiast wykonuje skonfigurowaną politykę, nie czekając na dane z warstwy sterowania. Agent 1.5.0 implementuje dwie akcje: Kwarantanna kopii zapasowej (kopia zapasowa jest kończona, ale oznaczana) i Tylko alert (kopia zapasowa jest przerywana i raportowana jako nieudana z odpowiednim powodem).
Ślad audytowy: każde wykrycie jest rejestrowane w dzienniku audytowym wraz ze skonfigurowaną akcją i wynikiem jej wykonania. Kopie zapasowe ukończone w kwarantannie są oznaczane jako potencjalnie zainfekowane i odpowiednio wyróżniane w Dashboardzie, w tym ostrzeżeniem w oknie przywracania.
Dashboard uzależnia zarządzanie polityką reagowania od wersji agenta.

Blokada sieci i wyłączenie zasilania (Agent 1.6.0, 9 września)

Blokada sieci: polityka sieciowa typu default-deny stosowana na hoście. Blokada zachowuje wyłącznie kanał sterowania Artemis i aktywny docelowy węzeł pamięci Driad, a także DNS (udp/53) i NTP (udp/123) - utrzymuje to kanał zarządzania przy życiu, co właśnie czyni blokadę zdalnie odwracalną. Na Linux agent używa nftables (dedykowana tabela inet statewarden_lockdown) z awaryjnym fallbackiem na iptables; istniejące reguły użytkownika nigdy nie są czyszczone. Na Windows ustawiana jest polityka profilu zapory blokująca ruch przychodzący i wychodzący, z deterministycznymi regułami zezwalającymi. Stan blokady jest utrwalany na dysku i nakładany ponownie przy starcie, więc przetrwa twardy reset.
Wyłączenie zasilania: inicjuje opóźnione (20 s) wyłączenie systemu. Opóźnienie gwarantuje, że zdarzenia audytowe i końcowy raport zadania zostaną zapisane, zanim maszyna się wyłączy.
Zniesienie: host objęty blokadą można przywrócić do normalnej pracy sieciowej z Dashboardu. Akcja jest chroniona wyzwaniem MFA i rejestrowana w dzienniku audytowym.
Te dwie akcje wymagają agenta 1.6.0 lub nowszego. Starsze agenty (1.5.0), które otrzymają politykę blokady sieci lub wyłączenia zasilania, degradują bezpiecznie do Tylko alert i rejestrują degradację w dzienniku audytowym.

Zarządzanie polityką reagowania (WebAPI 0.7.0 / 0.8.0, 9 września)

Wartości domyślne Realmu i nadpisania per urządzenie: polityki reagowania są zarządzane per Realm z możliwością nadpisań per urządzenie. Wszystkie zmiany polityki wymagają potwierdzenia MFA i są rejestrowane w dzienniku audytowym Realmu.
Wypychanie polityki wynikowej: polityka wynikowa (nadpisanie urządzenia, w przeciwnym razie domyślna Realmu, w przeciwnym razie wbudowane wartości domyślne) jest obliczana po stronie serwera i automatycznie wypychana do agentów. Agenci nigdy sami nie rozwiązują dziedziczenia. Maszyny wirtualne są objęte polityką agenta ich nadrzędnego hypervisora - jeden agent egzekwuje jedną politykę.
Wbudowane wartości domyślne: Realmy bez zapisanej polityki nadal są chronione: wbudowana wartość domyślna zgłasza alert i poddaje kopię zapasową kwarantannie, używając standardowych progów. Wyczyszczenie polityki przywraca tę wartość domyślną zamiast wyłączać ochronę.

Dashboard: strona Ochrona przed ransomware

Nowa strona Ochrona przed ransomware (/active-defense) zarządza wartościami domyślnymi Realmu: wyborem akcji reagowania (Kwarantanna kopii zapasowej / Tylko alert / Blokada sieci / Wyłączenie zasilania), progami entropii z przykładami w linii oraz metodami wykrywania.
Zakładka nadpisań per urządzenie w oknie szczegółów urządzenia pokazuje każde pole z odznaką ODZIEDZICZONE lub WŁASNE oraz umożliwia jednym kliknięciem powrót do dziedziczenia.
Blokada sieci i Wyłączenie zasilania można wybrać tylko dla urządzeń z agentem 1.6.0 lub nowszym; urządzenia ze starszymi agentami są odpowiednio oznaczone i degradują do Tylko alert.
Urządzenia objęte aktywną blokadą pokazują odznakę BLOKADA SIECI z akcją Przywróć sieć. Zainfekowane kopie zapasowe pokazują etykietę MOŻLIWA INFEKCJA na listach kopii oraz baner ostrzegawczy w procesie przywracania.

Niezawodność kopii zapasowych i zarządzanie kluczami

Propagacja epoki klucza (Agent 1.3.0, 3 września)

Rotacja kluczy pozostawiała wcześniej luki, które mogły skutkować kopiami zapasowymi po cichu niemożliwymi do przywrócenia (manifesty z mieszanymi kluczami starym/nowym) albo raportowaniem kopii zapisanych unieważnionym kluczem jako completed. Epoki kluczy są teraz propagowane w całym łańcuchu:

Blokada pre-flight dla nieaktualnego klucza: gdy epoka klucza serwera jest nowsza niż epoka agenta, kopia zapasowa jest przerywana przed zapisaniem jakichkolwiek danych, z jawnym powodem niepowodzenia, zamiast tworzyć nieprawidłową kopię.
Walidacja epoki CBT: stan śledzenia przyrostowego powiązany z poprzednią epoką klucza jest odrzucany i ustalany od nowa (re-baseline) zarówno na Linux, jak i Windows; pierwsza kopia zapasowa po rotacji jest automatycznie pełną linią bazową.
Wymuszone kopie pełne: pełna linia bazowa jest wymuszana automatycznie za każdym razem, gdy wymaga tego łańcuch - przy ręcznym wyzwoleniu, przy pustym łańcuchu kopii lub przy zmianie epoki klucza. Każda kopia zapasowa rejestruje epokę klucza, w której została zapisana.
Dashboard: kopie zapasowe zapisane w poprzedniej epoce klucza pokazują stan STARY KLUCZ, a akcja Utwórz kopię oferuje ścieżkę „Wymuś pełną kopię".

Odporność na błędy kopii zapasowych (Agent 1.4.0, 6 września)

Rzetelne raportowanie błędów: zaplanowane kopie zapasowe i wszystkie ścieżki kodu Proxmox raportują teraz Failed zamiast po cichu pomijać błędy; kopia zapasowa maszyny wirtualnej nie raportuje już Completed, gdy przesyłanie manifestu się nie powiodło.
Wykrywanie zawieszonych zadań: Artemis wykrywa kopie zapasowe, które nie wykazują postępu przez 30 minut. Agenty, które zatrzymały się w trakcie kopii, są wykrywane dzięki dziennikowi zadań w toku na dysku oraz końcowemu raportowi statusu wysyłanemu przy czystym zamknięciu.
Widoczne konsekwencje: nieudane kopie zapasowe otrzymują ustrukturyzowany powód niepowodzenia, są usuwane z pamięci (tylko artefakty danej kopii - bloki współdzielone ze zdrowymi kopiami nigdy nie są ruszane), pojawiają się w interfejsie ze zlokalizowanym powodem i wyzwalają powiadomienie e-mail do członków Realmu.
Raportowanie postępu: postęp kopii zapasowej jest teraz raportowany jako rzeczywisty procent, oprócz liczników bajtów.

Ulepszenia UX bezpieczeństwa (Dashboard 0.6.0 / WebAPI 0.9.0, 14 września)

Panel URZĄDZENIA PRIORYTETOWE na stronie Krajobraz zagrożeń szereguje flotę według wykryć krytycznych, wykryć aktywnych i wyniku ryzyka, z linkami bezpośrednimi do klasyfikacji.
Klasyfikacja podatności: filtr per urządzenie z licznikami, widok grupowania według urządzeń, linki bezpośrednie (?device=<uuid>), klikalne wiersze z oknem szczegółów wykrycia oraz zbiorcze decyzje klasyfikacji dla maksymalnie 500 wykryć jednocześnie.
Eksporty i raporty: eksport CSV respektujący aktywne filtry oraz raporty PDF per urządzenie lub per Realm generowane na żądanie, z opcjonalną sekcją notatek z liniami do obiegu papierowego.
Odpowiedzi dotyczące wykryć zawierają teraz nazwę urządzenia/nazwę hosta, a wyszukiwanie w historii dopasowuje nazwy urządzeń.
Odznaka BRAK DANYCH: urządzenia, które nigdy nie były skanowane (np. maszyny wirtualne bez agenta), nie pokazują już zielonej odznaki „Bezpieczne" - do zakończenia pierwszego skanowania wyświetlają neutralny stan „Brak danych" (NO DATA).

Poprawki skanowania Vigil (Agent 1.6.2, 14 września)

Trzy niezależne, wieloplatformowe błędy nałożyły się na siebie i po cichu wyłączyły zaplanowane skanowanie bezpieczeństwa na znacznej części floty:

Skanowanie systemu plików zepsute w całej flocie od kwietnia: defekt w przesyłaniu raportów skanowania powodował odrzucanie każdego raportu skanowania malware jako nieautoryzowanego. Naprawiono; pierwszy udany skan systemu plików w skali floty od 2026-04-24 odnotowano tej samej nocy.
Brak domyślnego harmonogramu skanowania: agenty, które nigdy nie otrzymały konfiguracji wypychanej, nie miały w ogóle harmonogramu bezpieczeństwa. Harmonogram korzysta teraz z wbudowanych wartości domyślnych (inwentaryzacja co 1440 min, skan malware co 720 min) i samonaprawia się przy kolejnym przebiegu - dotknięte urządzenia odzyskują sprawność bez ręcznej interwencji w miarę aktualizacji.
Zaplanowane skany zeroplikowe: ręczne wyzwalanie skanu mogło przenikać do ścieżek skanów zaplanowanych, tworząc skany zeroplikowe. Jest to teraz blokowane po stronie agenta.
Widoczność błędów: niepowodzenia skanów są teraz rejestrowane jako zdarzenia audytowe (Artemis 0.6.1) widoczne w logach urządzeń i powiadomieniach, a czasy zakończenia skanów są rejestrowane poprawnie.

Audit Pack (WebAPI 0.10.0 / Dashboard 0.7.0, 14 września)

Raporty dowodów audytowych

Zbiór dowodów audytowych: Audit Pack tworzy ustrukturyzowany zbiór dowodów audytowych dla wybieralnego okresu (domyślnie 90 dni, maksymalnie 400) i profilu jurysdykcji. Dostęp wymaga uprawnienia realm.view_audit_logs; każde wygenerowanie raportu samo w sobie jest rejestrowane w dzienniku audytowym.
Nowa strona Dashboardu /audit-pack generuje na żądanie plik PDF dla audytów NIS2 z profilami jurysdykcji: linia bazowa UE, Polska (KSC), Niemcy (BSIG/NIS2UmsuCG) i Francja (ReCyF - wyraźnie oznaczony jako oczekujący na wejście w życie).
Szkielet raportu stanowi macierz pokrycia wymagań, mapująca każdy wymóg prawny na jego dowody (potwierdzone / częściowe / organizacyjne), oraz aneksy dowodowe (członkowie, sesje, zdarzenia uwierzytelniania, audyt zmian, stan kopii zapasowych, historia przywracania, stan bezpieczeństwa, infrastruktura, wersje).
Wymagania organizacyjne, których oprogramowanie nie może udokumentować (szkolenia, polityka ryzyka, łańcuch dostaw, HR, bezpieczeństwo fizyczne), są pokrywane przez listę zaświadczeń klienta drukowaną jako DEKLARACJE KLIENTA.

Rozszerzone logowanie audytowe

Nowy dziennik audytowy konta rejestruje zdarzenia uwierzytelniania, MFA, sesji, rejestracji i ustawień konta wraz z adresem IP i identyfikatorem user agent.
Pokrycie dziennika Realmu rozszerzono o zmiany członkostwa IAM, zmiany polityk kopii zapasowych, cykl życia kodów parowania, reguły tłumienia i decyzje klasyfikacji podatności.
Artemis 0.7.0 dodaje zdarzenia audytowe dla pełnego cyklu życia parowania: parowanie urządzeń, parowanie odzyskiwania i odrzucone próby parowania.

Agent 1.7.0: zweryfikowane aktualizacje i zdarzenia audytowe przywracania/aktualizacji

Weryfikacja aktualizacji OTA (tryb podwójny): aktualizator weryfikuje hash SHA256 ładunków aktualizacji. Prawidłowo zbudowany hash jest wymuszany w trybie fail-closed (niezgodność = odrzucenie aktualizacji); ładunki bez prawidłowego hasha korzystają ze starszej ścieżki, eskalują zdarzenie rozpoczęcia aktualizacji do WARNING i oznaczają wszystkie zdarzenia aktualizacji jako niezweryfikowane hashem. TLS wobec serwera dystrybucyjnego jest teraz rygorystyczny (wymagany publicznie zaufany certyfikat). Wymuszenie hasha stanie się obowiązkowe w przyszłym wydaniu, gdy flota będzie działać na nowym aktualizatorze.
Nowe zdarzenia audytowe: rejestrowane są teraz uruchomienie agenta, cykl życia aktualizacji, rozpoczęcie kopii zapasowej i wyniki odtwarzania bare-metal.
Prawdziwe wyniki przywracania: odtworzenia Proxmox, które częściowo się nie powiodą, są teraz raportowane jako nieudane zamiast ukończonych i nie uruchamiają już automatycznie maszyny wirtualnej po częściowej awarii. Udane odtworzenia raportują liczbę bloków i bajtów.

Przegląd Realmu (WebAPI 0.11.0 / Dashboard 0.8.0, 16 września)

Nowy kokpit /overview odpowiada na pytanie „co się teraz dzieje w moim Realmie" na podstawie pojedynczego, obliczanego po stronie serwera przeglądu.
Kafelki KPI: status floty (online/offline, pokrycie ochroną w 7 dniach), kopie zapasowe z ostatnich 24 h (w tym przesłane bajty), stan bezpieczeństwa, wynikowa akcja Active Defense chroniąca Realm (ze wskaźnikiem Domyślne/Niestandardowe), limit przestrzeni z kolorystyką progową, współczynnik deduplikacji z trzystopniowym rozbiciem (rozmiar przywracania → rozmiar po deduplikacji → kopie + metadane fizycznie przechowywane) oraz niezawodność kopii (30-dniowa skuteczność, liczba punktów przywracania, najstarszy punkt przywracania).
Wykresy: aktywność kopii zapasowych z 30 dni (segmentowane kolumny dzienne, ukończone wobec nieudanych) oraz wykres przepływu chronionych danych (bajty logiczne wobec przesłanych dziennie).
Wymaga uwagi: obliczana po stronie serwera lista nieudanych kopii zapasowych, kopii potencjalnie zainfekowanych, wykryć krytycznych, urządzeń offline i urządzeń bez polityki kopii zapasowych, każda z linkiem bezpośrednim do odpowiedniej strony. Stronę uzupełnia lista ostatniej aktywności.
Uprawnienia per sekcja: każda sekcja jest chroniona tym samym uprawnieniem, które strzeże jej dedykowanej strony; sekcje niedostępne dla użytkownika są całkowicie pomijane zamiast wyszarzanych. Strona odświeża się co 30 sekund.

Utrzymanie platformy i agentów

Agent 1.2.2: rotacja logów - dzienne logi rotacyjne z automatycznym czyszczeniem plików starszych niż 7 dni na Linux i Windows.
Agent 1.2.3: poprawka odmontowywania iSCSI.
Agent 1.2.7: integracja kryptografii kaskadowej.
Agent 1.2.11: poprawki kopii przyrostowych Windows CBT (dziennik USN).
Agenty 1.3.1-1.3.4: poprawki Instant Mount przez iSCSI na Windows - losowane sygnatury dysków MBR eliminujące kolizje sygnatur między zamontowanymi dyskami kopii zapasowych oraz poprawka utrwalonego atrybutu OFFLINE Partmgr, który zatruwał ponownie używaną instancję dysku PnP i wymuszał, że każdy montaż po pierwszym odmontowaniu pojawiał się jako offline.
Agent 1.6.1: poprawka bufora odczytu QMP - kopie zapasowe maszyn wirtualnych Proxmox kończyły się niepowodzeniem na maszynach, których odpowiedzi QMP przekraczały 4 KiB bufora liniowego agenta (zależne od konfiguracji sprzętowej, np. maszyny wielodyskowe).
WebAPI 0.8.1: kody parowania są teraz generowane wyłącznie wielkimi literami (A-Z0-9), z wprowadzaniem, unieważnianiem i parowaniem bez rozróżniania wielkości liter; naprawiono raportowanie rozmiaru przywracania (historyczne ukończone kopie zapasowe wyświetlają poprawne rozmiary przywracania bez migracji danych).
Instalator MSI Windows: naprawiono błąd na świeżych instalacjach Windows 10. MSI wcześniej pakował binarkę zbudowaną MSVC, wymagającą VC++ Redistributable; teraz dostarcza tę samą kompilację toolchainu GNU co każdy inny artefakt Windows, a CI odrzuca każdą binarkę Windows importującą VCRUNTIME140/MSVCP140.

Dostępność

Agenty 1.3.x-1.6.2 są powszechnie dostępne i wdrażane we flocie przez OTA.
Agent 1.7.0 (weryfikacja hasha OTA, nowe zdarzenia audytowe, prawdziwe wyniki przywracania) jest dostępny wyłącznie w kanale testowym na dzień 17 września; wdrożenie flotowe nastąpi po walidacji kanału testowego.
Przegląd Realmu (WebAPI 0.11.0 / Dashboard 0.8.0) jest wdrażany stopniowo, najpierw WebAPI, potem Dashboard. Do zakończenia wdrożenia strona Przeglądu może być niedostępna lub pokazywać niepełne dane.

Wersje komponentów

Agent główny (sw): 1.7.0 (kanał testowy; ogólna flota pozostaje na 1.6.2)
WebAPI: 0.11.0
Dashboard: 0.8.0
Artemis: 0.7.0
Vigil: 1.4.0
Driad: 0.7.0
Hermes: 0.2.0