--- id: CP-066 slug: ddos-rozproszona-odmowa-uslugi lang: pl title: Rozproszona odmowa usługi (DDoS) description: Jak tysiące przejętych maszyn przeciążają usługę, co pracownik widzi na ekranie i jakie odruchy powinna mieć organizacja. canonical_url: https://startbrain.io/cyberpedia/pl/articles/ddos-rozproszona-odmowa-uslugi/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/ddos-rozproszona-odmowa-uslugi.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Rozproszona odmowa usługi (DDoS)”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/ddos-rozproszona-odmowa-uslugi/ (CC BY 4.0) wing: 1 theme: understand_hacking reflex: cr-049 schema: G1 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/ddos-rozproszona-odmowa-uslugi/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-ddos-deni-de-service-distribue/ en: https://startbrain.io/cyberpedia/en/articles/ddos-distributed-denial-of-service/ de: https://startbrain.io/cyberpedia/de/articles/ddos-angriff-verteilte-dienstblockade/ es: https://startbrain.io/cyberpedia/es/articles/ataque-ddos-denegacion-de-servicio-distribuida/ it: https://startbrain.io/cyberpedia/it/articles/attacco-ddos-negazione-di-servizio-distribuita/ nl: https://startbrain.io/cyberpedia/nl/articles/ddos-aanval-gedistribueerde-denial-of-service/ pt: https://startbrain.io/cyberpedia/pt/articles/ataque-ddos-negacao-de-servico-distribuida/ sources: - "n": 1 title: Understanding Denial-of-Service Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/understanding-denial-service-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Network Denial of Service, Technique T1498 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/ accessed: "2026-11-03" - "n": 3 title: Denial of Service (DoS) guidance publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection accessed: "2026-11-03" - "n": 4 title: "Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/001/ accessed: "2026-11-03" - "n": 5 title: "Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/002/ accessed: "2026-11-03" - "n": 6 title: Endpoint Denial of Service, Technique T1499 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/ accessed: "2026-11-03" - "n": 7 title: "Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/002/ accessed: "2026-11-03" - "n": 8 title: Heightened DDoS Threat Posed by Mirai and Other Botnets publisher: CISA url: https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets published: "2016-10-14" accessed: "2026-11-03" - "n": 9 title: "How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack" publisher: Google url: https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack published: "2023-10-10" accessed: "2026-11-03" --- # Rozproszona odmowa usługi (DDoS) Atak typu odmowa usługi (DoS) uniemożliwia prawidłowym użytkownikom dostęp do strony internetowej, poczty, konta online lub innej usługi. Atakujący zalewa cel ruchem, aż przestaje on odpowiadać lub ulega awarii [1]. W postaci rozproszonej (DDoS) wiele maszyn działa wspólnie przeciwko jednemu celowi [1]. Pracownik widzi skutek głównie jako spowolnienie albo stronę, która się nie otwiera. Takie objawy mogą przypominać zwykły problem z dostępnością, bez złych zamiarów, ale mogą też wskazywać na atak DoS lub DDoS [1]. ## W 30 sekund - Gdzie to się zdarza: w witrynach, poczcie, kontach online i innych usługach dostępnych przez internet [1]. - Czego chce atakujący: sprawić, by usługa była niedostępna, z powodów politycznych, dla odwrócenia uwagi lub w celu wyłudzenia pieniędzy [2]. - Odruch: powiadomić administratora sieci, który sprawdzi, czy awaria wynika z prac serwisowych albo wewnętrznego incydentu, i może monitorować ruch, aby potwierdzić atak [1]. - Jeśli to już się stało: administrator może skontaktować się z dostawcą internetu i zastosować reguły zapory sieciowej; resztę sieci trzeba nadal monitorować, bo atak bywa przykrywką [1]. ## Pytania wprost ### Czym jest botnet? To grupa podłączonych do sieci urządzeń przejętych przez atakującego, który steruje nimi za pomocą oprogramowania do dowodzenia i kontroli. Zainfekowane urządzenia same też są ofiarami ataku [1]. Botnet można wynająć innym osobom, często za pośrednictwem usług typu „attack-for-hire", które pozwalają użytkownikom bez umiejętności przeprowadzić DDoS [1]. ### Dlaczego trudniej go zatrzymać niż atak z jednej maszyny? Ruch pochodzi z wielu źródeł, przez co trudniej odróżnić go od ruchu prawidłowego [3]. DDoS utrudnia też ustalenie rzeczywistego źródła ataku [1]. W najgorszych przypadkach każda maszyna wysyła tylko niewielką ilość ruchu, a odróżnienie go od ruchu prawidłowych klientów staje się niezwykle trudne [4]. ### Skąd wiadomo, czy to atak, czy zwykła awaria? Objawy przypominają zwykły problem lub prace serwisowe. CISA wymienia trzy oznaki, które mogą wskazywać na atak: nietypowo wolną sieć, konkretną stronę, która przestała odpowiadać, albo brak możliwości otwarcia jakiejkolwiek strony [1]. Najlepszym sposobem rozstrzygnięcia jest monitorowanie ruchu sieciowego [1]. ### Czy można ucierpieć, nie będąc celem? Tak. Jeśli zaatakowany zostanie dostawca internetu lub dostawca chmury danej sieci, ta sieć również traci usługę [1]. ### Czy atak DDoS kradnie dane? Przeanalizowane źródła opisują utratę dostępności. Brytyjskie NCSC zauważa, że niedostępna strona publiczna może zakłócić działalność (utracona sprzedaż, pracownicy, którzy nie mogą pracować), nawet jeśli nie wpływa to na poufność ani integralność danych [3]. CISA zwraca jednak uwagę, że atakujący uruchamiają DDoS, aby odwrócić uwagę i przeprowadzić ataki dodatkowe na inne usługi w sieci [1]. ## W skórze atakującego Atakujący potrzebuje wolumenu. Może zbudować własny botnet albo wynająć cudzy na czas używania [4]. Podatne są urządzenia podłączone do sieci, które często zachowują hasło domyślne: infekcja często umyka uwadze właściciela, a setki tysięcy urządzeń mogą zostać przejęte bez jego wiedzy [1]. Może on także ukryć lub sfałszować adres źródłowy pakietów. Przez to filtrowanie według adresu źródłowego jest dla obrońców mniej skuteczne, a nawet bezużyteczne [2]. W tym artykule ataki podzielono na trzy rodziny. To wybór sposobu prezentacji, który nie odtwarza klasyfikacji ze źródeł. Rodzina wolumetryczna przeciąża przepustowość łącza. MITRE podaje przykład 10 Gbit/s ruchu wysyłanego do serwera podłączonego do internetu łączem 1 Gbit/s [2]. Wariant tego ataku wykorzystuje serwery stron trzecich, tak zwane reflektory: atakujący wysyła do nich pakiety ze sfałszowanym adresem ofiary, a odpowiedzi, większe niż zapytania, trafiają do niej. DNS i NTP umożliwiały takie wzmocnienie; protokół memcache wykazał wzmocnienie sięgające 51 200 razy w stosunku do pakietu wyjściowego [5]. Rodzina protokołowa wykorzystuje sposób działania wymiany danych w sieci. W ataku SYN flood atakujący żąda połączenia, nie kończąc trójstopniowego uzgadniania: port pozostaje zajęty, a jeśli żądania trwają, wszystkie otwarte porty zostają przeciążone [1]. MITRE zaleca włączenie SYN cookies jako obrony [6]. Rodzina aplikacyjna celuje w serwery i aplikacje. Zalew HTTP wysyła do serwera WWW dużą liczbę żądań, aby wyczerpać jego zasoby [7]. Atak przez renegocjację SSL/TLS otwiera połączenie szyfrowane, a następnie wysyła serię żądań renegocjacji, kosztownych obliczeniowo [7]. Takie ataki wyczerpują maszynę bez przeciążania sieci [6]. ## Co widać na ekranie Według CISA objawy mogą przypominać problemy z dostępnością bez złych zamiarów, ale mogą wskazywać na atak DoS lub DDoS [1]. Do objawów należą nietypowe spowolnienie przy otwieraniu plików lub stron, niedostępność konkretnej strony albo brak dostępu do jakiejkolwiek strony [1]. Dla klienta lub współpracownika oznacza to stronę z błędem albo usługę, która nie odpowiada. Te oznaki mogą też wynikać z prac serwisowych lub incydentu technicznego [1]. Pracownik nie musi więc stawiać diagnozy: zgłasza to, co zauważył. ## Pod maską Po stronie sieci bezpośredni zalew wykorzystuje głównie protokoły bezstanowe, takie jak UDP lub ICMP, ale może też posłużyć TCP [4]. Nadaje się prawie każdy protokół sieciowy [4]. Po stronie serwera ataki aplikacyjne opierają się na wąskich gardłach właściwych dla każdej warstwy: systemu operacyjnego, serwera WWW, DNS, bazy danych lub aplikacji [6]. W obronie, gdy wolumen przekracza przepustowość atakowanego łącza, trzeba filtrować ruch wcześniej: u dostawcy internetu, w sieci dostarczania treści (CDN) lub u specjalisty od łagodzenia ataków [2]. Zależnie od wolumenu czasem możliwe jest filtrowanie na miejscu: blokowanie adresów źródłowych, portów lub atakowanych protokołów [2]. ## Analizy incydentów ### Wrzesień 2016: Mirai przeciw blogowi Briana Krebsa i OVH 20 września 2016 roku blog o bezpieczeństwie Briana Krebsa padł ofiarą masowego ataku, jednego z największych odnotowanych, powyżej 620 Gbit/s. Pochodził on z botnetu urządzeń podłączonych do sieci, sterowanego przez złośliwe oprogramowanie Mirai [8]. Mirai bez przerwy przeszukuje internet w poszukiwaniu podatnych urządzeń i próbuje krótkiej listy 62 domyślnych nazw użytkownika i haseł [8]. Domniemany autor Mirai twierdził, że podczas ataku na witrynę Krebsa przejęto ponad 380 000 urządzeń [8]. Pod koniec września inny atak Mirai na francuskiego dostawcę hostingu OVH pobił rekord: co najmniej 1,1 Tbit/s, być może 1,5 Tbit/s [8]. Dotknięte urządzenia to głównie domowe routery, kamery sieciowe i cyfrowe rejestratory wideo [8]. Kod źródłowy Mirai opublikowano w sieci pod koniec września, co otworzyło drogę kolejnym atakom [8]. Pod koniec listopada 2016 roku oprogramowanie pochodne od Mirai skanowało port TCP 7547 podatnych routerów szerokopasmowych [8]. CISA zaleca, aby zainfekowane urządzenie odłączyć, uruchomić ponownie poza siecią (Mirai znajduje się w pamięci RAM), zmienić hasło domyślne i dopiero potem podłączyć je z powrotem [8]. ### Sierpień 2023: atak HTTP/2 „Rapid Reset" Google opisał 10 października 2023 roku nowy atak DDoS na HTTP/2, którego szczyt przypadł na sierpień. Największy przekroczył 398 milionów żądań na sekundę, znacznie więcej niż jakikolwiek wcześniej zgłoszony atak warstwy 7 [9]. Został w dużej mierze zatrzymany na krawędzi sieci Google przez jej infrastrukturę równoważenia obciążenia, bez awarii [9]. Zasada działania: klient otwiera naraz wiele strumieni, a następnie natychmiast anuluje każde żądanie, wysyłając ramkę RST_STREAM, bez czekania na odpowiedź [9]. Serwer musi jednak wykonać znaczną pracę przy anulowanych żądaniach, podczas gdy klient prawie nie ponosi jej kosztu [9]. Google skoordynował ujawnienie luki z partnerami z branży i zarezerwował identyfikator CVE-2023-44487 do śledzenia poprawek [9]. Zaleca jak najszybsze zastosowanie poprawek [9]. ### Inne przypadki z datami W 2016 roku APT28 przeprowadziła DDoS na Światową Agencję Antydopingową [2]. W 2019 roku Sandworm Team tymczasowo zakłócił działanie gruzińskich witryn po przejęciu dostawcy hostingu [6]. Seria incydentów w 2012 roku uderzyła w duże banki amerykańskie [4]. ## Co robi organizacja CISA wskazuje, że żaden sposób nie chroni całkowicie przed staniem się celem. Administratorzy mogą wykupić usługę ochrony, która wykrywa nietypowe strumienie i filtruje ruch, oraz przygotować plan odtwarzania po awarii [1]. Brytyjskie NCSC przytacza cztery praktyki: znać swoją usługę, znać swoje zabezpieczenia, opracować plan reagowania i go przetestować [3]. Po stronie pracownika to dwa gesty: szybko zgłaszać administratorowi sieci nietypowe spowolnienie lub niedostępność oraz zmieniać domyślne hasła urządzeń podłączonych do sieci, także w domu [1][8]. ## Źródła 1. CISA, „Understanding Denial-of-Service Attacks”, 1 lutego 2021. https://www.cisa.gov/news-events/news/understanding-denial-service-attacks (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Network Denial of Service, Technique T1498 - Enterprise”. https://attack.mitre.org/techniques/T1498/ (dostęp 3 listopada 2026) 3. NCSC (Royaume-Uni), „Denial of Service (DoS) guidance”. https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise”. https://attack.mitre.org/techniques/T1498/001/ (dostęp 3 listopada 2026) 5. MITRE ATT&CK, „Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise”. https://attack.mitre.org/techniques/T1498/002/ (dostęp 3 listopada 2026) 6. MITRE ATT&CK, „Endpoint Denial of Service, Technique T1499 - Enterprise”. https://attack.mitre.org/techniques/T1499/ (dostęp 3 listopada 2026) 7. MITRE ATT&CK, „Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise”. https://attack.mitre.org/techniques/T1499/002/ (dostęp 3 listopada 2026) 8. CISA, „Heightened DDoS Threat Posed by Mirai and Other Botnets”, 14 października 2016. https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets (dostęp 3 listopada 2026) 9. Google, „How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack”, 10 października 2023. https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/ddos-rozproszona-odmowa-uslugi/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.