FBI zbudowało sztuczne miasto do szkolenia cyberśledczych. To pokazuje, jak zmieniła się natura incydentu

FBI zbudowało w Huntsville w Alabamie sztuczne miasto do szkolenia zespołów od cyberśledztw i informatyki śledczej. Obiekt nazywa się Kinetic Cyber Range. Ma około 22 tys. stóp kwadratowych i znajduje się na kampusie FBI w Redstone Arsenal. W środku są domy, hotel, stacja benzynowa, szpital, firma energetyczna, centrum biznesowe, sala gier, sąd, pojazdy, sieci, urządzenia IoT i centrum danych z ponad 200 serwerami. Od otwarcia w lutym 2025 r. przeszło przez niego ponad 1,4 tys. kursantów: pracowników FBI oraz partnerów z innych instytucji (FBI, 2026a).

Nie jest to makieta do zdjęć. Każda przestrzeń ma działające systemy, sieci i urządzenia zaprojektowane tak, aby zachowywały się jak w realnym miejscu. W domu kursanci muszą zdecydować, które urządzenia zabezpieczyć jako dowód. W firmie rozmawiają z administratorami i szukają danych w sieci korporacyjnej. W centrum danych pracują wśród serwerów Windows i Linux. W scenariuszu szpitalnym mierzą się z atakiem ransomware, alarmami i rolami odgrywanymi przez osoby symulujące presję kliniczną. W innym ćwiczeniu rozbierają samochód, aby wydobyć elektroniczną jednostkę sterującą i odczytać dane mogące pokazać, gdzie pojazd był używany i kto mógł nim kierować (FBI, 2026a).

Ten projekt dobrze pokazuje zmianę w cyberbezpieczeństwie. Incydent cyfrowy coraz rzadziej kończy się na laptopie, serwerze albo telefonie. Przechodzi przez dom, samochód, szpital, firmę energetyczną, monitoring, pocztę, chmurę, router, system kontroli dostępu, kamerę, rejestrator, zegarek, terminal płatniczy i aplikacje mobilne. Cyberśledztwo staje się pracą w środowisku hybrydowym: technicznym, fizycznym, prawnym i społecznym.

1. Dlaczego FBI potrzebuje miasta, a nie sali komputerowej

Klasyczne szkolenie cyberbezpieczeństwa długo wyglądało podobnie: sala, komputery, kilka obrazów dysków, logi, próbki malware, ćwiczenie z analizy pamięci albo analiza sieciowa. Taki model ma sens przy nauce narzędzi, ale słabo oddaje warunki prawdziwego incydentu.

W realnej sprawie śledczy nie dostaje czystego pliku z dowodami. Wchodzi do domu, firmy, szpitala albo centrum danych. Musi ustalić, które urządzenie jest źródłem dowodów, które jest częścią infrastruktury krytycznej, którego odłączenie zatrzyma działalność organizacji, a które można zabezpieczyć bez większego ryzyka. Musi rozmawiać z właścicielem firmy, prawnikiem, administratorem, dyrektorem, personelem medycznym i ludźmi, którzy są pod presją.

Kinetic Cyber Range odtwarza tę sytuację. Kursanci uczą się nie tylko odzyskiwania danych, ale także decyzji operacyjnych: co zabezpieczyć, czego nie ruszać, jak dokumentować działania, jak wyjaśnić zakres pozyskiwania danych, jak ograniczyć szkody i jak koordynować pracę między zespołami technicznymi, śledczymi i organizacją dotkniętą incydentem.

To przesunięcie ma duże znaczenie. W cyberincydencie błąd proceduralny może zniszczyć dowód, zwiększyć przestój, naruszyć prywatność albo utrudnić postępowanie karne. Dobre szkolenie musi więc obejmować technikę i zachowanie pod presją.

2. Cyberśledztwo zaczyna się od mapy środowiska

W sztucznym mieście FBI każdy obiekt ma własny zestaw systemów. Dom ma urządzenia połączone z internetem. Firma ma sieć, Active Directory, pocztę, zapory i serwery. Szpital ma systemy, których zatrzymanie może zostać przedstawione w scenariuszu jako zagrożenie dla opieki nad pacjentami. Centrum danych ma fizyczne ograniczenia: hałas, zimno, ciasnotę, słabą widoczność i dużą liczbę maszyn. Pojazd ma własną elektronikę, pamięć i ślady użytkowania (FBI, 2026a).

W praktyce pierwsze pytanie śledczego brzmi: gdzie są dane? Odpowiedź bywa nieoczywista. Ślad może być w komputerze, telefonie, rejestratorze, routerze, skrzynce pocztowej, chmurze, kamerze, systemie kontroli dostępu, ECU pojazdu albo logach dostawcy usług. Cyberprzestępstwo nie zostawia jednego miejsca zdarzenia. Tworzy rozproszoną mapę śladów.

Dlatego sztuczne miasto jest lepszym modelem niż pojedyncze laboratorium. Uczy myślenia o środowisku jako systemie powiązań. Dom, firma, pojazd i centrum danych nie są osobnymi rekwizytami. Są elementami jednego łańcucha dowodowego.

3. Ransomware w szpitalu jako test decyzji, a nie samej techniki

Jednym ze scenariuszy FBI jest symulowany atak ransomware na sieć szpitalną. Taki wybór nie jest przypadkowy. Ransomware w ochronie zdrowia łączy kilka trudnych wymiarów: techniczny, organizacyjny, prawny, medyczny i komunikacyjny.

Zespół musi ustalić zakres infekcji, wektor wejścia, systemy dotknięte atakiem, możliwość segmentacji sieci, stan kopii zapasowych, obecność wycieku danych, kontakt z napastnikiem, obowiązki raportowe i priorytety przywracania. Równocześnie organizacja może działać w trybie zakłóconym: opóźniona dokumentacja, utrudniony dostęp do historii pacjentów, przenoszenie procedur na papier, nacisk zarządu i obawa o bezpieczeństwo ludzi.

W takim scenariuszu najtrudniejsze bywa ustalenie kolejności działań. Izolacja wszystkiego może zatrzymać opiekę. Zbyt wolna reakcja może pozwolić malware rozprzestrzenić się dalej. Zbyt szerokie pozyskiwanie danych może naruszyć prywatność. Zbyt wąskie może zniszczyć możliwość rekonstrukcji zdarzenia.

Kinetic Cyber Range pozwala ćwiczyć te decyzje bez realnych szkód. Kursant może popełnić błąd, zobaczyć jego konsekwencje i poprawić procedurę. W prawdziwym szpitalu taki błąd może kosztować czas, dane, pieniądze i bezpieczeństwo pacjentów.

4. Dlaczego IoT zmienia pracę śledczych

Urządzenia IoT zwiększają liczbę potencjalnych dowodów. Kamera, smart TV, głośnik, termostat, zamek elektroniczny, system alarmowy, router, rejestrator, licznik energii albo samochód mogą przechowywać dane o obecności, czasie, ruchu, połączeniach, konfiguracji i aktywności użytkownika.

Problem polega na tym, że każde urządzenie ma inny format danych, inną trwałość zapisu, inną podatność na utratę informacji i inne ryzyko naruszenia prywatności. Część danych jest lokalna. Część trafia do chmury producenta. Część wymaga zgody prawnej albo osobnej procedury pozyskania.

W sztucznym mieście kursant uczy się decydować, które urządzenie może być dowodem, a które jest mało przydatne. To istotne, ponieważ w prawdziwej sprawie nie da się zabrać całego miasta. Trzeba selekcjonować ślady, zachować proporcjonalność i myśleć o dalszej wartości dowodowej.

5. Centrum danych jako ćwiczenie z fizycznej rzeczywistości cyberprzestępstwa

Cyberbezpieczeństwo bywa przedstawiane jako praca przy ekranie. Centrum danych w Kinetic Cyber Range przypomina, że infrastruktura cyfrowa ma ciało: szafy, kable, temperaturę, hałas, zasilanie, oznaczenia, dostęp fizyczny i ograniczenia przestrzenne.

FBI opisuje centrum danych z ponad 200 serwerami, na których działają różne systemy. Kursant musi pracować w warunkach ciasnych, zimnych, głośnych i niewygodnych. To ćwiczy umiejętność działania w miejscu, które przypomina realny obiekt, a nie uporządkowane stanowisko laboratoryjne (FBI, 2026a).

Taki trening ma znaczenie dowodowe. Błąd w identyfikacji serwera, nieprawidłowe odłączenie maszyny, brak dokumentacji kabli, brak zachowania kolejności czynności albo utrata zasilania mogą zmienić stan danych. W forensyce cyfrowej procedura jest częścią wyniku.

6. Pojazd jako komputer na kołach

Ćwiczenie z demontażu elektronicznej jednostki sterującej pojazdu pokazuje kolejny kierunek pracy śledczej. Samochód stał się systemem informatycznym z czujnikami, modułami, pamięcią, infotainment, komunikacją bezprzewodową i danymi o użytkowaniu. W sprawie karnej może dostarczyć informacji o trasie, czasie, połączeniach, urządzeniach podłączonych do auta i zachowaniu pojazdu.

Forensyka pojazdów wymaga innych kompetencji niż klasyczna analiza komputera. Trzeba wiedzieć, gdzie znajdują się moduły, jak je wydobyć, jak zachować dane i jak uniknąć ich nadpisania. W sztucznym mieście można trenować to fizycznie: rozebrać część pojazdu, odnaleźć moduł, wyciągnąć go i przeprowadzić ekstrakcję.

Ten przykład pokazuje, że granica między informatyką śledczą a klasycznym zabezpieczeniem miejsca zdarzenia coraz bardziej się zaciera. Dowód cyfrowy może siedzieć pod tapicerką samochodu.

7. Miękkie umiejętności jako część cyberśledztwa

FBI zaznacza, że kursanci rozmawiają z osobami odgrywającymi właścicieli firm, kadrę zarządzającą i zespoły prawne. To nie jest dodatek teatralny. W realnym incydencie osoba techniczna często musi negocjować dostęp, tłumaczyć zakres działań, wyjaśniać, co jest pozyskiwane, a czego zespół nie zamierza zbierać (FBI, 2026a).

W przypadku śledztw cyfrowych zaufanie ma znaczenie operacyjne. Firma dotknięta incydentem może obawiać się szkód reputacyjnych, kosztów, odpowiedzialności prawnej i ujawnienia danych. Jeżeli zespół śledczy nie potrafi jasno wyjaśnić celu działań, organizacja może współpracować wolniej albo bronić dostępu do systemów.

Dlatego cyberśledztwo wymaga języka zrozumiałego dla techników, prawników, zarządu i osób nietechnicznych. Trzeba umieć powiedzieć, co stało się w sieci, bez zamieniania komunikacji w listę skrótów. Trzeba też umieć słuchać ludzi, którzy znają własną organizację lepiej niż zewnętrzny zespół.

8. Scenariusze oparte na dawnych sprawach

FBI podaje, że scenariusze w Kinetic Cyber Range opierają się na wcześniejszych sprawach i są aktualizowane wraz z rozwojem technologii: IoT, dronów, forensyki pojazdów i nowych form cyberprzestępczości (FBI, 2026a). To ważne, ponieważ szkolenie cyberbezpieczeństwa szybko się starzeje.

Atakujący zmieniają narzędzia, infrastrukturę, techniki ukrywania się i modele zarabiania. Ransomware łączy szyfrowanie z kradzieżą danych, presją medialną i groźbami wobec klientów ofiary. Oszustwa BEC korzystają z zaufania, języka organizacji i presji czasu. Ataki na łańcuch dostaw przechodzą przez dostawców usług, konta uprzywilejowane i oprogramowanie zarządzane centralnie. AI zwiększa jakość socjotechniki, tłumaczeń, podszywania się i produkcji przekonujących treści.

Szkolenie oparte na scenariuszu sprzed pięciu lat może uczyć złych odruchów. Cyber range musi być utrzymywany jak środowisko operacyjne: aktualizowany, przebudowywany i powiązany z obserwowanymi sprawami.

9. Dlaczego to ma znaczenie poza FBI

Kinetic Cyber Range jest projektem policyjno-śledczym, ale jego logika dotyczy firm, szpitali, samorządów, uczelni i operatorów infrastruktury. Incydent cybernetyczny jest testem organizacji, a nie samego działu IT.

W firmie po ataku ransomware trzeba odpowiedzieć na pytania: kto podejmuje decyzje, kto kontaktuje się z ubezpieczycielem, kto rozmawia z prawnikami, kto raportuje do organów, kto komunikuje się z klientami, kto uruchamia kopie zapasowe, kto decyduje o priorytetach przywracania, kto dokumentuje działania, kto zabezpiecza dowody.

Wiele organizacji ma polityki bezpieczeństwa, ale mało organizacji ćwiczy scenariusze w warunkach presji. Dokument reagowania na incydent bywa poprawny formalnie, a bezużyteczny w pierwszej godzinie kryzysu. Ćwiczenie pozwala zobaczyć, czy ludzie znają swoje role, czy numery telefonów działają, czy kopie zapasowe da się odtworzyć, czy prawnicy rozumieją logi, czy zarząd wie, jakie decyzje musi podjąć.

NIST w wytycznych dotyczących obsługi incydentów opisuje reakcję jako proces obejmujący przygotowanie, wykrycie, analizę, odpowiedź i odzyskiwanie. Taki proces musi być ćwiczony, ponieważ sama znajomość ramy postępowania nie daje sprawności w sytuacji presji (NIST, 2025).

10. Cyber range jako laboratorium błędów

Największa wartość cyber range polega na możliwości bezpiecznego popełniania błędów. W realnym incydencie błąd może kosztować dane, dowody, ciągłość działania i zaufanie. W środowisku treningowym błąd staje się materiałem szkoleniowym.

Można sprawdzić, co stanie się, gdy zespół źle wyizoluje segment sieci. Można zobaczyć skutki zbyt szerokiego zabezpieczenia urządzeń. Można ocenić, jak kursanci reagują, gdy dyrektor szpitala żąda natychmiastowego przywrócenia systemu, a śledczy potrzebuje zachować stan dowodów. Można nauczyć się, że technicznie poprawna decyzja bywa organizacyjnie niemożliwa, a organizacyjnie wygodna decyzja bywa dowodowo szkodliwa.

W tym sensie sztuczne miasto działa jak laboratorium złożonych sytuacji. Uczy nie tylko odpowiedzi na pytanie „jak wykonać czynność”, ale też „kiedy”, „w jakiej kolejności”, „z czyją zgodą” i „jak to udokumentować”.

11. Skala problemu: cyberprzestępczość jako obciążenie systemowe

FBI w 2025 Internet Crime Report wskazało ponad milion zgłoszeń do IC3 i straty przekraczające 20 mld dolarów. W raporcie wymieniano między innymi oszustwa inwestycyjne, business email compromise, oszustwa techniczne, ransomware i nadużycia związane z kryptowalutami (FBI IC3, 2026). Te liczby nie obejmują pełnego kosztu: przestojów, utraty reputacji, pracy prawników, kosztów odbudowy, szkód pośrednich i przypadków niezgłoszonych.

FBI opisuje cyberzagrożenia także jako problem bezpieczeństwa państwa: wrogie państwa i grupy przestępcze atakują infrastrukturę krytyczną, firmy, szpitale i sieci publiczne. FBI podaje, że ma wyspecjalizowane zespoły cyber w 56 biurach terenowych, Cyber Action Team zdolny do szybkiego rozmieszczenia przy poważnych incydentach oraz globalną sieć współpracy (FBI, 2026b).

Na takim tle sztuczne miasto nie jest ciekawostką. Jest odpowiedzią na problem skali i jakości przygotowania. Gdy liczba incydentów rośnie, a środowiska techniczne stają się bardziej połączone, szkolenie musi nadążać za rzeczywistością operacyjną.

12. Co firmy mogą wynieść z modelu FBI

Firmy nie muszą budować całego miasta, aby skorzystać z tej lekcji. Mogą przenieść logikę Kinetic Cyber Range do własnych ćwiczeń.

Pierwsza lekcja: ćwiczyć całe środowisko, a nie samą konsolę bezpieczeństwa. Scenariusz powinien obejmować IT, dział prawny, komunikację, zarząd, HR, finanse, dostawców i właścicieli procesów biznesowych.

Druga lekcja: dodawać element fizyczny. Kto ma dostęp do serwerowni? Kto zna topologię sieci? Gdzie są kopie zapasowe? Kto może odłączyć urządzenie? Kto wie, które systemy obsługują produkcję, sprzedaż, pacjentów albo logistykę?

Trzecia lekcja: ćwiczyć rozmowę. Podczas incydentu trzeba komunikować się z klientami, pracownikami, organami, ubezpieczycielem, dostawcami i mediami. Techniczna prawda bez komunikacji może wywołać chaos.

Czwarta lekcja: mierzyć decyzje. Po ćwiczeniu trzeba ocenić czas wykrycia, czas eskalacji, jakość dokumentacji, błędy w rolach, braki w uprawnieniach, niedostępne kontakty, nieaktualne procedury i punkty, w których zespół działał na podstawie założeń zamiast danych.

Piąta lekcja: aktualizować scenariusze. Jeżeli ćwiczenia co roku wyglądają tak samo, ludzie uczą się scenariusza, a nie odporności.

13. Ograniczenia takiego podejścia

Cyber range daje realizm treningowy, ale nie odtwarza całej rzeczywistości. Prawdziwy incydent ma więcej chaosu: niepełne dane, sprzeczne interesy, błędne informacje od ludzi, brak snu, presję mediów, ryzyko prawne, pieniądze, pacjentów, klientów i politykę organizacyjną. Żadne środowisko szkoleniowe nie daje pełnej kopii kryzysu.

Drugi problem to koszt. Budowa obiektu z sieciami, urządzeniami, serwerami i personelem odgrywającym role jest droga. Dlatego większość organizacji będzie korzystać z mniejszych ćwiczeń: tabletop, technicznych laboratoriów, symulacji ransomware, testów odtwarzania kopii i warsztatów decyzyjnych.

Trzeci problem to ryzyko teatralizacji. Ćwiczenie może wyglądać efektownie, ale nie uczyć sprawności, jeżeli nie ma mierników, ewaluacji i powrotu do procedur. Dobre ćwiczenie kończy się zmianami: poprawioną listą kontaktów, nową segmentacją, doprecyzowanymi rolami, lepszą dokumentacją i usunięciem luk w dostępie.

Wniosek

Sztuczne miasto FBI pokazuje, że cyberbezpieczeństwo weszło w fazę, w której samo szkolenie techniczne nie wystarcza. Incydent cyfrowy dotyka infrastruktury fizycznej, organizacji pracy, prawa, komunikacji i relacji z ofiarą. Śledczy musi rozumieć sieci, serwery i malware, ale też ludzi, miejsca, urządzenia i procedury.

Kinetic Cyber Range jest modelem przygotowania do świata, w którym każdy obiekt ma warstwę cyfrową. Dom, samochód, szpital, stacja benzynowa, firma energetyczna i centrum danych tworzą wspólne pole dowodowe. W takim świecie cyberśledztwo wymaga treningu w środowisku podobnym do sprawy, a nie wyłącznie przy biurku.

Najbardziej praktyczna lekcja dla organizacji jest prosta: plan reagowania na incydent trzeba ćwiczyć tak, jak będzie używany. Z ludźmi, urządzeniami, presją czasu, niepełnymi informacjami, prawnikami, komunikacją i decyzjami, które mają skutki poza ekranem.

Źródła

CISA. (2026). Cybersecurity Training & Exercises.

CISA. (2026). StopRansomware Guide.

FBI. (2026a). Inside the FBI’s Kinetic Cyber Range. June 9, 2026.

FBI. (2026b). The Cyber Threat.

FBI IC3. (2026). 2025 Internet Crime Report.

FBI. (2021). FBI Breaks Ground on Innovation Center at Redstone Arsenal.

NIST. (2025). SP 800-61 Rev. 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management.

NIST. (2023). The Cyber Range: A Guide.