Cyberpediaod Brain
PLDEENESFRITNLPT

Rozproszona odmowa usługi (DDoS)

Jak tysiące przejętych maszyn przeciążają usługę, co pracownik widzi na ekranie i jakie odruchy powinna mieć organizacja.

W 30 sekund

Gdzie to się zdarza
W witrynach, poczcie, kontach online i innych usługach dostępnych przez internet1.
Czego chce atakujący
Sprawić, by usługa była niedostępna, z powodów politycznych, dla odwrócenia uwagi lub w celu wyłudzenia pieniędzy2.
Odruch
Powiadomić administratora sieci, który sprawdzi, czy awaria wynika z prac serwisowych albo wewnętrznego incydentu, i może monitorować ruch, aby potwierdzić atak1.
Jeśli to już się stało
Administrator może skontaktować się z dostawcą internetu i zastosować reguły zapory sieciowej; resztę sieci trzeba nadal monitorować, bo atak bywa przykrywką1.

O co chodzi

Atak typu odmowa usługi (DoS) uniemożliwia prawidłowym użytkownikom dostęp do strony internetowej, poczty, konta online lub innej usługi. Atakujący zalewa cel ruchem, aż przestaje on odpowiadać lub ulega awarii1.

W postaci rozproszonej (DDoS) wiele maszyn działa wspólnie przeciwko jednemu celowi1. Pracownik widzi skutek głównie jako spowolnienie albo stronę, która się nie otwiera. Takie objawy mogą przypominać zwykły problem z dostępnością, bez złych zamiarów, ale mogą też wskazywać na atak DoS lub DDoS1.

Pytania wprost

Czym jest botnet?

To grupa podłączonych do sieci urządzeń przejętych przez atakującego, który steruje nimi za pomocą oprogramowania do dowodzenia i kontroli. Zainfekowane urządzenia same też są ofiarami ataku1. Botnet można wynająć innym osobom, często za pośrednictwem usług typu „attack-for-hire", które pozwalają użytkownikom bez umiejętności przeprowadzić DDoS1.

Dlaczego trudniej go zatrzymać niż atak z jednej maszyny?

Ruch pochodzi z wielu źródeł, przez co trudniej odróżnić go od ruchu prawidłowego3. DDoS utrudnia też ustalenie rzeczywistego źródła ataku1. W najgorszych przypadkach każda maszyna wysyła tylko niewielką ilość ruchu, a odróżnienie go od ruchu prawidłowych klientów staje się niezwykle trudne4.

Skąd wiadomo, czy to atak, czy zwykła awaria?

Objawy przypominają zwykły problem lub prace serwisowe. CISA wymienia trzy oznaki, które mogą wskazywać na atak: nietypowo wolną sieć, konkretną stronę, która przestała odpowiadać, albo brak możliwości otwarcia jakiejkolwiek strony1. Najlepszym sposobem rozstrzygnięcia jest monitorowanie ruchu sieciowego1.

Czy można ucierpieć, nie będąc celem?

Tak. Jeśli zaatakowany zostanie dostawca internetu lub dostawca chmury danej sieci, ta sieć również traci usługę1.

Czy atak DDoS kradnie dane?

Przeanalizowane źródła opisują utratę dostępności. Brytyjskie NCSC zauważa, że niedostępna strona publiczna może zakłócić działalność (utracona sprzedaż, pracownicy, którzy nie mogą pracować), nawet jeśli nie wpływa to na poufność ani integralność danych3. CISA zwraca jednak uwagę, że atakujący uruchamiają DDoS, aby odwrócić uwagę i przeprowadzić ataki dodatkowe na inne usługi w sieci1.

1W skórze atakującego2 min

Atakujący potrzebuje wolumenu. Może zbudować własny botnet albo wynająć cudzy na czas używania4. Podatne są urządzenia podłączone do sieci, które często zachowują hasło domyślne: infekcja często umyka uwadze właściciela, a setki tysięcy urządzeń mogą zostać przejęte bez jego wiedzy1.

Może on także ukryć lub sfałszować adres źródłowy pakietów. Przez to filtrowanie według adresu źródłowego jest dla obrońców mniej skuteczne, a nawet bezużyteczne2.

W tym artykule ataki podzielono na trzy rodziny. To wybór sposobu prezentacji, który nie odtwarza klasyfikacji ze źródeł.

Rodzina wolumetryczna przeciąża przepustowość łącza. MITRE podaje przykład 10 Gbit/s ruchu wysyłanego do serwera podłączonego do internetu łączem 1 Gbit/s2. Wariant tego ataku wykorzystuje serwery stron trzecich, tak zwane reflektory: atakujący wysyła do nich pakiety ze sfałszowanym adresem ofiary, a odpowiedzi, większe niż zapytania, trafiają do niej. DNS i NTP umożliwiały takie wzmocnienie; protokół memcache wykazał wzmocnienie sięgające 51 200 razy w stosunku do pakietu wyjściowego5.

Rodzina protokołowa wykorzystuje sposób działania wymiany danych w sieci. W ataku SYN flood atakujący żąda połączenia, nie kończąc trójstopniowego uzgadniania: port pozostaje zajęty, a jeśli żądania trwają, wszystkie otwarte porty zostają przeciążone1. MITRE zaleca włączenie SYN cookies jako obrony6.

Rodzina aplikacyjna celuje w serwery i aplikacje. Zalew HTTP wysyła do serwera WWW dużą liczbę żądań, aby wyczerpać jego zasoby7. Atak przez renegocjację SSL/TLS otwiera połączenie szyfrowane, a następnie wysyła serię żądań renegocjacji, kosztownych obliczeniowo7. Takie ataki wyczerpują maszynę bez przeciążania sieci6.

2Co widać na ekranie1 min

Według CISA objawy mogą przypominać problemy z dostępnością bez złych zamiarów, ale mogą wskazywać na atak DoS lub DDoS1. Do objawów należą nietypowe spowolnienie przy otwieraniu plików lub stron, niedostępność konkretnej strony albo brak dostępu do jakiejkolwiek strony1. Dla klienta lub współpracownika oznacza to stronę z błędem albo usługę, która nie odpowiada.

Te oznaki mogą też wynikać z prac serwisowych lub incydentu technicznego1. Pracownik nie musi więc stawiać diagnozy: zgłasza to, co zauważył.

3Pod maskąZespoły IT1 min

Po stronie sieci bezpośredni zalew wykorzystuje głównie protokoły bezstanowe, takie jak UDP lub ICMP, ale może też posłużyć TCP4. Nadaje się prawie każdy protokół sieciowy4.

Po stronie serwera ataki aplikacyjne opierają się na wąskich gardłach właściwych dla każdej warstwy: systemu operacyjnego, serwera WWW, DNS, bazy danych lub aplikacji6.

W obronie, gdy wolumen przekracza przepustowość atakowanego łącza, trzeba filtrować ruch wcześniej: u dostawcy internetu, w sieci dostarczania treści (CDN) lub u specjalisty od łagodzenia ataków2. Zależnie od wolumenu czasem możliwe jest filtrowanie na miejscu: blokowanie adresów źródłowych, portów lub atakowanych protokołów2.

4Analizy incydentówPrawdziwe przypadki2 min

Wrzesień 2016: Mirai przeciw blogowi Briana Krebsa i OVH

20 września 2016 roku blog o bezpieczeństwie Briana Krebsa padł ofiarą masowego ataku, jednego z największych odnotowanych, powyżej 620 Gbit/s. Pochodził on z botnetu urządzeń podłączonych do sieci, sterowanego przez złośliwe oprogramowanie Mirai8. Mirai bez przerwy przeszukuje internet w poszukiwaniu podatnych urządzeń i próbuje krótkiej listy 62 domyślnych nazw użytkownika i haseł8. Domniemany autor Mirai twierdził, że podczas ataku na witrynę Krebsa przejęto ponad 380 000 urządzeń8.

Pod koniec września inny atak Mirai na francuskiego dostawcę hostingu OVH pobił rekord: co najmniej 1,1 Tbit/s, być może 1,5 Tbit/s8. Dotknięte urządzenia to głównie domowe routery, kamery sieciowe i cyfrowe rejestratory wideo8. Kod źródłowy Mirai opublikowano w sieci pod koniec września, co otworzyło drogę kolejnym atakom8. Pod koniec listopada 2016 roku oprogramowanie pochodne od Mirai skanowało port TCP 7547 podatnych routerów szerokopasmowych8.

CISA zaleca, aby zainfekowane urządzenie odłączyć, uruchomić ponownie poza siecią (Mirai znajduje się w pamięci RAM), zmienić hasło domyślne i dopiero potem podłączyć je z powrotem8.

Sierpień 2023: atak HTTP/2 „Rapid Reset"

Google opisał 10 października 2023 roku nowy atak DDoS na HTTP/2, którego szczyt przypadł na sierpień. Największy przekroczył 398 milionów żądań na sekundę, znacznie więcej niż jakikolwiek wcześniej zgłoszony atak warstwy 79. Został w dużej mierze zatrzymany na krawędzi sieci Google przez jej infrastrukturę równoważenia obciążenia, bez awarii9.

Zasada działania: klient otwiera naraz wiele strumieni, a następnie natychmiast anuluje każde żądanie, wysyłając ramkę RST_STREAM, bez czekania na odpowiedź9. Serwer musi jednak wykonać znaczną pracę przy anulowanych żądaniach, podczas gdy klient prawie nie ponosi jej kosztu9. Google skoordynował ujawnienie luki z partnerami z branży i zarezerwował identyfikator CVE-2023-44487 do śledzenia poprawek9. Zaleca jak najszybsze zastosowanie poprawek9.

Inne przypadki z datami

W 2016 roku APT28 przeprowadziła DDoS na Światową Agencję Antydopingową2. W 2019 roku Sandworm Team tymczasowo zakłócił działanie gruzińskich witryn po przejęciu dostawcy hostingu6. Seria incydentów w 2012 roku uderzyła w duże banki amerykańskie4.

5Co robi organizacja1 min

CISA wskazuje, że żaden sposób nie chroni całkowicie przed staniem się celem. Administratorzy mogą wykupić usługę ochrony, która wykrywa nietypowe strumienie i filtruje ruch, oraz przygotować plan odtwarzania po awarii1. Brytyjskie NCSC przytacza cztery praktyki: znać swoją usługę, znać swoje zabezpieczenia, opracować plan reagowania i go przetestować3.

Po stronie pracownika to dwa gesty: szybko zgłaszać administratorowi sieci nietypowe spowolnienie lub niedostępność oraz zmieniać domyślne hasła urządzeń podłączonych do sieci, także w domu18.

Karta

Identyfikator
CP-066
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Zrozumieć hacking (understand_hacking)
Odruch Brain
cr-049
Schemat
G1 · Łańcuch ataku (Kill Chain)
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 9
ŹródłaŹródła: 9
  1. CISA, „Understanding Denial-of-Service Attacks”, 1 lutego 2021. https://www.cisa.gov/news-events/news/understanding-denial-service-attacks (dostęp 3 listopada 2026)
  2. MITRE ATT&CK, „Network Denial of Service, Technique T1498 - Enterprise”. https://attack.mitre.org/techniques/T1498/ (dostęp 3 listopada 2026)
  3. NCSC (Royaume-Uni), „Denial of Service (DoS) guidance”. https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise”. https://attack.mitre.org/techniques/T1498/001/ (dostęp 3 listopada 2026)
  5. MITRE ATT&CK, „Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise”. https://attack.mitre.org/techniques/T1498/002/ (dostęp 3 listopada 2026)
  6. MITRE ATT&CK, „Endpoint Denial of Service, Technique T1499 - Enterprise”. https://attack.mitre.org/techniques/T1499/ (dostęp 3 listopada 2026)
  7. MITRE ATT&CK, „Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise”. https://attack.mitre.org/techniques/T1499/002/ (dostęp 3 listopada 2026)
  8. CISA, „Heightened DDoS Threat Posed by Mirai and Other Botnets”, 14 października 2016. https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets (dostęp 3 listopada 2026)
  9. Google, „How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack”, 10 października 2023. https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Rozproszona odmowa usługi (DDoS)”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/ddos-rozproszona-odmowa-uslugi/

BibTeX 
@misc{brain_cp066_pl_2026,
  author = {Brain},
  title = {Rozproszona odmowa usługi (DDoS)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/ddos-rozproszona-odmowa-uslugi/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0