K0NSULT ipIII — raport, instrukcja i prezentacja

Zastrzeżenie. To publiczny demonstrator i architektura referencyjna, nie system operacyjny ani produkt produkcyjny. Dane oznaczone SYMULACJA są demonstracyjne i nie opisują realnych incydentów ani realnych celów. Treść nie stanowi certyfikacji, opinii prawnej ani formalnej oceny zgodności (AI Act / NIS2 / RODO / DORA / KNF) — mapowania są ramowe i edukacyjne. Formalne zgłoszenia do organów odbywają się wyłącznie właściwymi kanałami, po decyzji DPO/prawnika/organu. Realne testy bezpieczeństwa — wyłącznie po podpisanym RoE/NDA. „57 stron" dotyczy modułu ipIII, nie całego portalu AI Truth.

Czym to jest i po co

ipIII to nie katalog naruszeń, lecz mechanizm decyzyjno-dowodowy. Każdy wpis działa według zasady Claim ≤ Proof: bez dowodu wpis to GAP, nie fakt. Portal łączy cztery poziomy: klasyczny cyber, incydenty AI/agentowe, obowiązki prawne (AI Act/NIS2/KSC/RODO) oraz odporność/ciągłość (backup, Punkt Zero, PQC).

ZGŁOSZENIE→DOWÓD→STATUS→KLASYFIKACJA →RYZYKO→PLAYBOOK→DZIAŁANIE→WALIDACJA →RAPORT→ODPORNOŚĆ

Przeznaczenie

Rejestracja, klasyfikacja, mapowanie i przeciwdziałanie incydentom; gotowe raporty zgodności; interaktywne ćwiczenia purple-team; brama współpracy ze środowiskiem pentesterów.

Kontekst biznesowy

Powierzchnia demonstracyjna do ćwiczenia atak/obrona z zespołem pentesterów banku (systemowo istotnej instytucji finansowej). Nazwa banku dopiero po podpisanym RoE.

Zasada nadrzędna

„100%” oznacza pokrycie dowodowe i proceduralne, nie nieprzenikalność. Rój ≠ rejestr. Ofensywa = metodyka/symulacja, nigdy realny cel.

Architektura i moduły

Statyczne strony public/envois/ait-ip3-*.html serwowane przez Express (sendHtmlWithNonce, CSP nonce wstrzykiwany do inline JS). Sześć modułów systemu:

1 · Incident Intake

Przyjmowanie zgłoszeń (user/operator/CERT/ENISA/OSINT/AI/regulator).

2 · Evidence Layer

Każdy incydent ma dowód albo status luki. 7 statusów, chain of custody.

3 · Classification Engine

6 osi: warstwa, typ, aktor, wektor, skutek, obowiązki prawne. MITRE ATT&CK.

4 · Threat Map

Geografia, sektory, typy, sprawcy, dowody, reakcje, czas.

5 · Playbook Engine

12 grup A–L: od uruchomienia do lessons learned.

6 · Legal/Compliance

Flagi AI Act art.73 / NIS2 24-72h / RODO art.33-34 / DORA.

Pełny wykaz stron (57) — żywe linki

LIVE działa/realne DANE oparte o zbiór ROADMAP cel SYMULACJA demo NOINDEX ofensywa/exercise, staging-gated

Fala	Strona	Co to	Status
F0 · rdzeń	/ hub	przegląd systemu, mapa sekcji	LIVE
	doktryna	evidence-first, 7 statusów, chain of custody	LIVE
	model-danych	SQL: incidents/evidence/response_actions/assets/agents	DANE
	api	17 endpointów, kontrakt request/response	ROADMAP
	role-priorytety	9 ról + P0–P3 SLA + zasady nadrzędne	LIVE
F1 · widoki	dashboard	Executive Overview + LIVE-hook /api/incidents	SYM
	cyber-map	geografia/sektor/typ/sprawca/skutek	SYM
	ai-risk-map	8 ryzyk AI + test high-risk AI Act	SYM
	evidence-board	% GAP jako miara ryzyka, chain of custody	SYM
	legal-board	AI Act/RODO/NIS2/KSC + terminy	DANE
	response-board	kanban reakcji, zamknięcie tylko z dowodem	SYM
F2 · intake	zglos	formularz zgłoszenia (demo)	LIVE
	klasyfikacja	6 osi + MITRE ATT&CK/ATLAS	DANE
	mapa	mapa Polski (SVG), natężenie incydentów	SYM
	tabela	rejestr + eksport CSV działa + sortowanie	LIVE
F3 · playbooki	playbooks (index)	12 grup A–L, struktura playbooka	LIVE
	A–D: phishing · ransomware · ddos · podatności	procedury reakcji, MITRE, flagi prawne	DANE
	E–H: wyciek-danych · supply-chain · prompt-injection · agent-hijack	RODO, SBOM, tool firewall, DID/kill switch	DANE
	I–L: halucynacja · deepfake · ai-act · ciągłość	GAP, provenance, art.73, RTO/RPO/PQC	DANE
F4 · biznes	compliance	szablony AI Act art.73 / NIS2 / RODO / DORA	DANE
	agent-security	rejestr agentów, DID, tool firewall, kill switch	SYM
	banking-demo ★	demo dla CISO/SOC banku, DORA/TIBER, scenariusz e2e	SYM
F5 · civilization	civilization	manifest skali, rój≠rejestr, bramki dojrzałości	DANE
	specjalisci	roster 50k (model) vs ~50 zaproszonych	DANE
	roje-cykle	model wykonawczy, 15× metaGO, limity infry	ROADMAP
	red-team	MITRE ATT&CK 14 taktyk, kill chain, purple	NOINDEX
	pentest	PTES/OWASP/OSSTMM, DORA TLPT/TIBER-EU	NOINDEX
	attack-sim ★	Exercise Board — rundy atak/obrona, scoring	NOINDEX
	engagement ★	Rules of Engagement + rubryka oceny	NOINDEX
F6 · hackaton	hackaton	krajowy, vs Polska vs świat, 5 ścieżek	NOINDEX
	hackaton-regulamin	§1–§12, safe harbor, RODO, koordynacja CERT	NOINDEX
	hackaton-leaderboard	tablica wyników, sortowanie, EF-score	NOINDEX
F7 · sentinel	sentinel ★★	interaktywny symulator atak/obrona (RED/BLUE z każdego punktu)	NOINDEX
F8 · wymiar	tesseract ★	interaktywny hipersześcian 4D, obrona w głąb, PQC	DANE
F8 · wymiar	ochrona-polski	doktryna defense-in-depth, GAP-register	ROADMAP
F9 · skuteczność	skutecznosc	dogfooding; „100%”=pokrycie dowodowe (tabele A/B)	DANE
F10 · skala/nauka	skale	lokalny→krajowy→unijny→globalny→4D→RSC	ROADMAP
F10 · skala/nauka	szkolenia ★	akademia + test 10 pytań (działa), tiering	LIVE
F11 · global gateway	disclosure	VDP/CVD (ISO 29147/30111), safe harbor	LIVE
	bug-bounty	program + Hall of Fame (pusty=GAP, uczciwie)	ROADMAP
	threat-intel	CTI/OSINT, STIX/TAXII, MISP, SIEM export	ROADMAP
	global	manifest wejścia global, 5 bram, otwarte standardy	ROADMAP
EN	en + doktryna/banking-demo/engagement/sentinel/hackaton `/en`	flagowe strony po angielsku (świat)	LIVE
maszyn.	status.json · security.txt	metadane + RFC 9116 (Policy→disclosure)	LIVE

★ = interaktywne · ★★ = flagowa gra atak/obrona

Instrukcja obsługi — jak używać

Sentinel — symulator atak/obrona (flagowy)

Otwórz /ai-truth/ipIII/sentinel w przeglądarce.

Wybierz rolę u góry: ▲ RED — atak lub ▼ BLUE — obrona.
Kliknij węzeł na mapie (Email GW, VPN, Tożsamość/AD, Endpoint, Baza, Backup, Agent AI, SIEM) — po prawej pojawi się panel akcji.
RED: wybierz wektor (np. Phishing T1566). System liczy szansę; węzeł czerwienieje = skompromitowany. Atak bez monitoringu → GAP.
BLUE: wybierz kontrolę (DMARC, EDR, tool firewall…) — węzeł zielenieje, włącza monitoring; przy skompromitowanym pojawia się „Opanuj”.
⏩ Auto-atak (kill-chain) — odpala sekwencję ataku; jako BLUE reagujesz. Najlepsze do pokazu.
KPI po prawej liczą się na żywo: Wynik BLUE/RED, detekcje, GAP, dowody, MTTD. ↺ Reset czyści.

Tesserakt 4D

Obraca się sam. ⏸ Pauza · −/+ prędkość · obrót XW · obrót ZW. Niebieski=obrona, czerwony=atak, zielony=symbioza/PQC.

Szkolenia — test

Zaznacz odpowiedzi (radio) → „Sprawdź wynik” → %, poprawne/błędne + wyjaśnienia + tier (Associate/Practitioner/Expert).

Tabela incydentów

„Eksport CSV” realnie działa (plik generowany w przeglądarce). Sortowanie po kliknięciu nagłówka.

Exercise Board / Leaderboard

Scoring liczony z widocznych danych (% detekcji, MTTD/MTTR, EF-score). Sortowalne kolumny.

Ćwiczenie atak/obrona — wykonane na żywo na k0nsult.cloud

Przeprowadziłem realny przebieg RED→BLUE na stronie Sentinel (Playwright, przeglądarka). Historia w liczbach pokazuje sedno evidence-first: monitoring zamienia niewykryte ataki (GAP) w detekcje z dowodem.

100

Wynik BLUE (finał)

Wynik RED

Detekcje

Dowody

GAP (przed obroną)

Kompromitacje

Sentinel — stan początkowy: topologia sieci, role, KPI — **1 · Start.** Topologia 10 węzłów (Email GW, VPN, AD, Endpoint, Baza, Backup, Agent AI, SIEM). Wszystkie liczniki 0.

Auto kill-chain: 3 węzły skompromitowane, 7 GAP — **2 · Atak (auto kill-chain).** RED 52, 3 węzły skompromitowane, **7× GAP** — ataki przeszły niewykryte (BLUE bierny).

Obrona BLUE: hardening + monitoring — **3 · Obrona.** BLUE wzmacnia węzły (hardening + monitoring). Wynik BLUE rośnie z 0.

Finał: druga fala ataku wykryta, BLUE 100, 6 dowodów — **4 · Finał (2. fala ataku po utwardzeniu).** Ataki teraz **WYKRYTE**: 6 detekcji, 6 dowodów, **Wynik BLUE 10→100**. To puenta: bez monitoringu = GAP; z monitoringiem = detekcja z dowodem.

Uczciwie: to model dydaktyczny (SYMULACJA), izolowany, bez realnych celów. Prawdziwe metryki zbiera Exercise Board; realne testy tylko po podpisanym RoE.

Dla kogo — ścieżki odbiorców

👩‍💻 Deweloperzy

Wzorzec: _ip3Pages w server.js + sendHtmlWithNonce. Zero zależności zewnętrznych (CSP nonce).

→ model danych (SQL) → API (17 endpointów) → statusy dowodowe

🛠️ Obsługujący / SOC

Zgłoś → sklasyfikuj → uruchom playbook → działania → zamknij tylko z dowodem naprawy. Human-in-the-loop dla P0/P1.

→ dashboard → zgłoś incydent → response board

🎯 Pentesterzy

MITRE ATT&CK, DORA TLPT/TIBER-EU, PTES/OWASP. Interaktywny Sentinel. RoE przed jakimkolwiek działaniem. VDP + security.txt.

→ Sentinel (gra atak/obrona) → Rules of Engagement → zgłoś podatność (VDP)

🏦 Firmy / banki

Mapowanie na DORA, NIS2, RODO, AI Act, KNF. Evidence chain audytowalny, gotowe raporty, tool firewall dla agentów AI.

→ demo dla banków → compliance → bezpieczeństwo agentów AI

🎓 Fachowcy / społeczność

Akademia + testy, ścieżka certyfikacji, roster, hackaton PL vs świat, bug bounty + Hall of Fame.

→ szkolenia + test → hackaton → brama global

⚖️ Regulatorzy / inni

Doktryna claim≤proof, terminy raportowania, ochrona kraju, model tesseraktu 4D, PQC/ciągłość.

→ legal board → ochrona Polski → tesserakt 4D

Wyniki testów (dowód, nie deklaracja)

Test	Wynik	Znaczenie
Route smoke (lokalnie)	57 / 57 = 200	każda strona odpowiada
Smoke PROD k0nsult.cloud	25 / 25 = 200 + /api/health healthy	GO FULL LIVE CONTROLLED
Integralność linków wewn.	52 unikalne, 0 martwych	wszystkie kombinacje nawigacji
Skaner overclaimów	0 realnych	„nieprzenikalny/100% bezpieczny” tylko w zaprzeczeniu
Grounding (realna tech.)	29× MITRE ID · RODO/NIS2/DORA/AI Act · PTES/OWASP/TIBER	zakotwiczone w ustalonej wiedzy
Jest (unit, bez DB)	12 / 12 PASS	gateway-validator
Interaktywny JS (CSP nonce)	6/6 stron nonce'owane, script-src 'nonce' 'strict-dynamic'	symulacje faktycznie działają
Ćwiczenie Sentinel (Playwright)	BLUE 10→100 po obronie, 6 dowodów	zweryfikowane wizualnie (zrzuty wyżej)

Dojrzałość wdrożenia (dowód techniczny): prototyp opublikowany na staging (19/19) i na prod (25/25), wpięty w menu huba, kanon na GitHub 37f0f726. To znaczy: publiczny prototyp jest dostępny i działa — nie oznacza gotowości operacyjnej ani zgodności regulacyjnej. Statusy wewnętrzne „go-live" są doktryną K0NSULT, nie standardem rynkowym.

Dla dev — jak to zbudowane i jak rozwijać

Strony: public/envois/ait-ip3-<slug>.html — kompletny samodzielny HTML, zero zasobów zewnętrznych (CSP), JS inline.
Trasy: tablica _ip3Pages w server.js + pętla forEach → sendHtmlWithNonce (wstrzykuje nonce do inline <script>).
Statusy: klasy .st-confirmed/.st-gap/.st-sim + ROADMAP violet; priorytety .p0–.p3.
Model danych: incidents / evidence / response_actions / assets / agents (PostgreSQL). API: /api/incidents istnieje (401 dla anon → dashboard zostaje SYMULACJA).
Deploy: whitelist .dockerignore (kontekst ~10MB). Staging: fly deploy --no-cache -c fly.staging.toml -a k0nsult-staging. Prod: fly deploy --no-cache -a k0nsult.
Testy: node --check server.js; smoke curl; npx jest __tests__/.
Nowa strona: dodaj plik + slug do _ip3Pages + link w hubie/subnav. Trzymaj evidence-first; ofensywę oznacz NOINDEX + SYMULACJA.

Otwarte: podpięcie /api/incidents (dashboard LIVE-hook gotowy) · semantyczny audyt merytoryczny (swarm) · RoE przed nazwaniem banku · EN dla pozostałych stron · discoverability: hub-index nie linkuje jeszcze fal F5–F11.

K0NSULT ipIII — evidence-first warstwa obsługi incydentów cyber/AI + demonstrator ćwiczeń purple-team