22 lipca 2026 · 12 min czytania

Kilkadziesiąt sekund i padł cały hosting. Anatomia ataku DDoS na ISP: czemu firewall nie pomoże, czemu RTBH to kapitulacja i co zmienił NIS2.

Krótka odpowiedź: typowy atak DDoS kładzie usługi w kilkadziesiąt sekund — czyli szybciej, niż człowiek zdąży zalogować się na router. Ręczne reguły i RTBH nie są ochroną, tylko kontrolowanym odcięciem klienta. Realna ochrona polega na wykryciu w kilka sekund i odfiltrowaniu ruchu, tak żeby usługa działała w trakcie ataku. Dla małych i średnich ISP jest to dziś tańsze o rząd wielkości niż pudełkowy appliance — i od 2024 roku przestało być wyborem, a stało się obowiązkiem prawnym.

Poniżej historia, która wydarzyła się naprawdę — i to, co po niej zostało w naszych procedurach.

Kilkadziesiąt sekund

Zapowiadał się spokojny dzień. Bułka z sałatą i żółtym serem czekała na biurku, herbata stygła w kubku. Tomek odruchowo zerknął na ekran podwieszony pod sufitem. Potem spojrzał na kanapkę. Potem znowu na monitor.

Coś było nie tak. Bardzo nie tak.

Wstał z fotela szybciej, niż zamierzał, oparł się jedną ręką o blat, drugą podrapał się po głowie. Pracował w bezpieczeństwie sieci od lat i ataki DDoS nie były dla niego niczym nowym. Ten jednak zaskoczył go skalą i intensywnością.

Cele były wybrane precyzyjnie: duże portale i sklepy internetowe należące do największego klienta firmy. Usługi nie wytrzymały wolumenu ruchu. Zanim Tomek zdążył zareagować, zaczęły padać strony pozostałych klientów — te, których nikt nawet nie atakował. Wysycone łącze nie pyta, kto jest celem.

System wysłał alarm. Ręcznie dokładany firewall tym razem nie pomógł — atak zrobił swoje w kilkadziesiąt sekund, a szkody nie dało się już odkręcić na miejscu.

Pierwsze telefony zaczęły się po kilku minutach. Zaniepokojeni administratorzy pytali, dlaczego ich serwisy zniknęły z internetu. Kolejne godziny były dokładnym przeciwieństwem spokojnego dnia w pracy.

To wtedy Tomek obiecał sobie, że tym razem porozmawia z zarządem poważnie.

Dlaczego „kupimy sprzęt" zwykle kończy się niczym

Zarząd zareagował podręcznikowo: wyślij zapytania ofertowe.

Oferty zaczynały się od pół miliona złotych w górę. Tyle kosztowało wtedy bezpieczeństwo. Nawet gdyby firma zdecydowała się na taką inwestycję, koszt wdrożenia i tak musieliby ponieść klienci. Ceny hostingu poszłyby w górę, konkurencyjność w dół, a klienci przeszliby do firm, które nadal ryzykują i pozostają podatne.

Klasyczny pat. I najczęstszy powód, dla którego po dużym incydencie nie dzieje się nic — poza notatką „do rozważenia w przyszłym roku".

Tym razem Tomek nie odpuścił. Ta historia kosztowała go zbyt dużo nerwów. Zrobił porządny research, zapytał właściwych ludzi — i tak trafił do nas.

Nazywamy się ITORO.

Pomagamy małym i średnim ISP obniżyć koszt ochrony przed atakami DDoS kilkunasto- do kilkudziesięciokrotnie w porównaniu z gotowymi, bardzo drogimi rozwiązaniami sprzętowymi. Jesteśmy certyfikowanym partnerem Gold firmy Andrisoft, której oprogramowanie chroni tysiące sieci na całym świecie.

Co się zmieniło od czasu tej historii

Opisany dzień wydarzył się kilka lat temu. Sam mechanizm ataku się nie zmienił — zmieniło się otoczenie, i to na tyle mocno, że warto to wypunktować.

Atak stał się usługą, którą się kupuje. Nie trzeba już umieć nic poza obsługą przeglądarki i portfela z kryptowalutą. To zmieniło profil napastnika: dziś atakuje nie tylko konkurencja czy zdenerwowany gracz, ale też ktoś zupełnie przypadkowy.

Pojawił się ransom DDoS. Krótki atak demonstracyjny, po nim mail z żądaniem okupu i terminem. Obserwowaliśmy takie kampanie prowadzone seryjnie, według harmonogramu, przeciwko całym listom polskich operatorów naraz. Kto ma filtrowanie, ten odsyła mail do kosza. Kto nie ma — negocjuje.

Atakuje się całe podsieci, nie pojedyncze adresy. Technika zwana carpet bombing rozprasza ruch po całym /24 albo /22, tak żeby żaden pojedynczy adres nie przekroczył progu alarmowego. Klasyczne wykrywanie „per IP" tego nie widzi, a RTBH na jeden adres nie ma czego odciąć.

DDoS przestał być wyłącznie problemem technicznym. O tym niżej — bo to najważniejsza zmiana.

Jak działa WanGuard

WanGuard składa się z dwóch głównych modułów: sensor i filter.

Sensor — wykrywanie

Sensor zbiera informacje o ruchu przez NetFlow / IPFIX / sFlow albo analizuje kopię całego ruchu (port-mirror). Ta druga metoda skraca czas reakcji na atak do maksymalnie 5 sekund.

Różnica jest fundamentalna. Przy NetFlow czekasz na eksport flowów z routera — zanim dane w ogóle dotrą do sensora, mija kilkadziesiąt sekund. Czyli dokładnie tyle, ile zajęło położenie sieci w historii powyżej. Przy port-mirrorze sensor widzi pakiety w tej samej chwili co router.

Poza bezpieczeństwem ten moduł potrafi realnie obniżyć koszty. Dzięki retencji danych i szczegółowemu raportowaniu ruchu między sieciami BGP można lepiej planować zakup łączy na podstawie analizy rzeczywistego ruchu, a nie szacunków. Przy naszych wdrożeniach pomagamy zoptymalizować koszty tranzytu — zależnie od zakresu, potencjalne oszczędności potrafią przewyższyć koszt samej inwestycji.

Filter — filtrowanie

Filtrowanie ruchu realizujemy albo na serwerze filtrującym, albo protokołem BGP FlowSpec na routerze BGP. W przypadku serwerów używamy specjalnych kart sieciowych ze wsparciem filtrowania sprzętowego przy prędkościach 10/40/100 GE. To bardzo zaawansowana forma filtrowania ruchu.

Większość metod filtrowania wymaga przekierowania ruchu. W sieci z jednym routerem bywa to problematyczne i grozi pętlami w routingu. Rozwiązań tego problemu jest kilka — od prostych po bardzo skomplikowane, wymagające istotnych zmian w sieci i routingu. To jest dokładnie ten etap, na którym warto mieć kogoś, kto robił to wcześniej.

Szczegóły architektury opisaliśmy na stronie o WanGuard.

RTBH to nie ochrona. To kontrolowana kapitulacja

Część firm nadal opiera obronę sieci wyłącznie o RTBH (Remotely Triggered Black Hole). To nie jest rozwiązanie, na którym można polegać — to bardzo prymitywna i nieskuteczna forma walki z atakiem.

Dlaczego? Bo blackholing kończy atak przez dokończenie go za napastnika. Odcinasz atakowany adres IP od świata. Napastnik chciał, żeby ta usługa była niedostępna — i właśnie własnymi rękami mu to załatwiłeś.

Oczami użytkownika

Nie ma nic ważniejszego niż stabilny i stały dostęp do internetu. Dotyczy to zwłaszcza graczy online, którzy są rosnącą grupą klientów docelowych. Gracze są najbardziej narażeni na ataki ze strony przeciwników, a dostawca usług może mieć poważne kłopoty, jeśli nie stosuje żadnej formy ochrony.

I tu pointa: dla gracza uruchomienie RTBH jest dokładnie taką samą karą jak udany atak. W obu sytuacjach wypada z gry i ma przerwę na kilka minut. Z jego perspektywy nie ma żadnej różnicy — a rachunek za łącze płaci Tobie.

Kiedy RTBH ma sens

Ma — jako ostatnia linia, nie pierwsza. Rozwiązaniem problemu jest filtrowanie ataków DDoS. Jedynym wymaganiem jest przepustowość uplinku, która pomieści ruch własny i atak. Firmy chronione przez WanGuard, z łączami powyżej 2–3 Gbps, są w stanie odfiltrować większość ataków mieszczących się w dostępnym wolumenie uplinków — bez żadnej przerwy w dostępie dla swoich klientów.

Przy większych atakach zostaje RTBH albo scrubbing center i przekierowanie atakowanej podsieci (/24). Tylko że za każdy taki atak i każde przekierowanie płaci się słono — i to jest koszt, który trudno przewidzieć w budżecie.

Filtrowanie u operatora: EDGE BGP FlowSpec

Jest jeszcze trzecia droga, której w 2021 roku po prostu nie było na polskim rynku w takiej formie.

Jeśli atak przekracza pojemność Twojego uplinku, żadne urządzenie w Twojej serwerowni go nie odfiltruje — pakiety zdążą wysycić łącze, zanim do niego dotrą. Fizyki się nie oszuka. Ruch trzeba zatrzymać wyżej, u operatora.

Orange Polska obsługuje reguły filtrujące BGP FlowSpec na swoim brzegu sieci. Oznacza to, że regułę wygenerowaną przez WanGuard można wypchnąć nie tylko na własny router, ale i do operatora — a ruch zostaje odrzucony, zanim w ogóle dotrze do Twojego łącza. Bez odcinania klienta, bez blackholingu, bez opłat za przekierowanie.

To zmienia matematykę: górny limit tego, co potrafisz odfiltrować, przestaje być wyznaczany przez Twój uplink. Więcej o współpracy — na stronie Partnerzy.

NIS2: DDoS przestał być tylko problemem IT

To jest największa zmiana od czasu opisanej historii i powód, dla którego rozmowa z zarządem wygląda dziś zupełnie inaczej.

Dyrektywa NIS2 i krajowe przepisy o cyberbezpieczeństwie przeniosły odporność na DDoS z kategorii „dobra praktyka" do kategorii obowiązek, za którego niedopełnienie odpowiada zarząd osobiście. Dla podmiotów kluczowych i ważnych kary sięgają 10 mln EUR lub 2% rocznego obrotu światowego — zależnie od tego, która kwota jest wyższa.

Doszły też terminy, których nie da się dotrzymać bez przygotowania:

  • 24 godziny — wczesne ostrzeżenie do CSIRT
  • 72 godziny — właściwe zgłoszenie incydentu

Zwróć uwagę, co to oznacza w praktyce. Żeby zgłosić incydent w 24 godziny, trzeba go najpierw zauważyć, sklasyfikować i udokumentować. Bez systemu, który zapisuje, co dokładnie się działo — jaki wektor, jaki wolumen, które adresy, o której godzinie — zgłoszenie sprowadza się do „mieliśmy jakiś atak, chyba". To nie jest raport, który zamyka sprawę.

Retencja i raportowanie z sensora przestały więc być funkcją „miło mieć". Stały się dowodem.

Napisaliśmy osobną instrukcję: gdzie zgłosić atak DDoS w Polsce — z terminami, adresami i tym, co dokładnie napisać.

Dostępność usług a koszt

Wdrożenie ochrony anty-DDoS u ISP i w data center jest koniecznością. Może się jednak wiązać z wysokim kosztem zakupu i utrzymania. Może — ale nie musi.

W przypadku WanGuard ten koszt jest zaskakująco niski. Nawet najmniejsze sieci mogą skorzystać z tego typu ochrony. Bez wysokich opłat miesięcznych i bez ogromnych inwestycji sprzętowych.

Dzięki naszym rozwiązaniom pełna ochrona z filtrowaniem ruchu DDoS o przepustowości n × 10–40 GE staje się dostępna dla sektora małych i średnich ISP. Skaluje się w zależności od wielkości sieci i wolumenu ruchu do internetu. Z naszych rozwiązań korzystają polscy i zagraniczni operatorzy, którzy dzięki temu oszczędzają duże pieniądze i zapewniają swoim klientom wysoki poziom bezpieczeństwa.

Ceny mamy jawne — bez „zapytaj o wycenę" i bez negocjacji zależnych od tego, jak bardzo się palisz. Aktualny cennik i kalkulator są na stronie Cennik.

Czego uczy ten dzień

Warto pamiętać o mechanizmach ochronnych i stopniowo je wdrażać. Ochrona i prewencja zawsze będą tańsze niż straty spowodowane atakami. Jest to szczególnie dotkliwe i odczuwalne w data center, gdzie odpływ klientów po takich incydentach jest niemal natychmiastowy.

Kilka rzeczy, które w tej historii zadecydowały o wszystkim:

  1. Czas wykrycia jest ważniejszy niż moc filtrowania. Najlepszy filtr uruchomiony po dwóch minutach broni już tylko zgliszczy.
  2. Ręczne reakcje nie działają. Nie dlatego, że administrator jest zły — dlatego, że człowiek nie zdąży. Kilkadziesiąt sekund to za mało, żeby się zalogować i zdiagnozować.
  3. Ofiarą pada też ten, kogo nikt nie atakował. Wysycone łącze kładzie wszystkich klientów za nim.
  4. RTBH to plan awaryjny, nie plan.
  5. Bez dokumentacji incydentu nie ma zgłoszenia, a bez zgłoszenia w terminie jest ryzyko kary.

Wieloletnie doświadczenie na rynku ISP pozwala nam podejść do każdej sieci indywidualnie i dobrać najbardziej ekonomiczny wariant. Zachęcamy do zapoznania się z naszą ofertą i kontaktu z konsultantem.

Naszą misją jest dostarczenie przystępnej cenowo ochrony przed atakami DDoS wszystkim ISP i dostawcom treści — niezależnie od wielkości sieci i wolumenu ruchu.

Najczęstsze pytania

Ile trwa skuteczny atak DDoS, zanim położy usługi?

W opisanym przypadku — kilkadziesiąt sekund. Przy wolumetrycznym ataku na wysycenie łącza czas liczy się w sekundach, nie w minutach. Dlatego wykrywanie oparte na NetFlow (kilkadziesiąt sekund opóźnienia przez eksport flowów) często reaguje już po fakcie, a port-mirror skraca ten czas do maksymalnie 5 sekund.

Czy firewall wystarczy do ochrony przed DDoS?

Nie. Firewall stoi za łączem — jeśli atak wysyca uplink, pakiety zdążą zapchać łącze, zanim do niego dotrą. Do tego firewall utrzymuje stan sesji, więc przy ataku typu SYN flood sam staje się celem i pada jako pierwszy. Ruch trzeba odfiltrować przed firewallem albo, przy większych atakach, u operatora.

Czy RTBH chroni przed atakiem DDoS?

RTBH zatrzymuje atak, ale kosztem dostępności atakowanego adresu. Odcinasz IP od świata, więc z perspektywy klienta efekt jest taki sam jak udany atak — usługa nie działa. To sensowna ostatnia linia obrony przy atakach przekraczających pojemność łącza, ale nie jest to ochrona. Ochroną jest filtrowanie, po którym usługa nadal działa.

Czy mała firma albo mały ISP jest realnym celem?

Tak, i to z dwóch powodów. Po pierwsze — atak można dziś kupić za kilkadziesiąt złotych, więc próg wejścia dla napastnika praktycznie nie istnieje. Po drugie — przy atakach na całe podsieci (carpet bombing) i przy wysyceniu wspólnego łącza obrywają klienci, którzy nie byli celem. Nie trzeba być celem, żeby ponieść straty.

Ile kosztuje ochrona przed DDoS dla ISP?

Rozwiązanie oparte o WanGuard jest zwykle kilkunasto- do kilkudziesięciokrotnie tańsze niż dedykowany appliance anty-DDoS o porównywalnej wydajności. Konkretna kwota zależy od przepustowości, liczby sensorów i wybranego wariantu filtrowania. Publikujemy pełny cennik z kalkulatorem — sprawdź na stronie Cennik.

Czy ochrona przed DDoS jest wymagana przez NIS2?

NIS2 nie wymienia z nazwy konkretnej technologii, ale wymaga zarządzania ryzykiem, ciągłości działania i obsługi incydentów — a dla operatora sieci DDoS jest jednym z podstawowych ryzyk. Doliczyć trzeba obowiązek zgłoszenia w 24 h (wczesne ostrzeżenie) i 72 h (właściwe zgłoszenie), którego bez systemu wykrywania i retencji danych nie da się rzetelnie wykonać.