Czym jest WanGuard? Wykrywanie i ochrona przed atakami DDoS

Krótka odpowiedź: WanGuard to system anty-DDoS klasy operatorskiej firmy Andrisoft, który wykrywa ataki wolumetryczne w kilka sekund i odfiltrowuje je we własnej sieci operatora — przez BGP FlowSpec, blackholing RTBH albo scrubbing pakietów w DPDK. Działa na standardowych serwerach, które kontrolujesz, bez przekierowywania ruchu do chmurowego centrum scrubbingu. Dlatego sięgają po niego operatorzy ISP, telekomy i data center, które chcą zatrzymać atak, zanim zauważą go klienci.

Najważniejsze w skrócie

• WanGuard = wykrywanie + obrona przed atakiem we własnej sieci: widzi Twój ruch, rozpoznaje atak i odrzuca go na routerach brzegowych.
• Trzy elementy: Sensor (wykrywa), Filter / WanFilter (czyści ruch) oraz Console (webowa płaszczyzna sterowania).
• Dwa tryby wykrywania: port-mirror (DPDK) dla reakcji poniżej 5 sekund albo flow (NetFlow/sFlow/IPFIX) dla tańszego pokrycia w skali terabitowej.
• Odfiltrowanie ataku: BGP FlowSpec (chirurgicznie, z prędkością łącza), RTBH (czarna dziura w ostateczności) lub scrubbing WanFilter.
• ITORO jest Gold Partnerem Andrisoft, który instaluje, stroi i operuje WanGuarda za Ciebie.

---

Czym jest WanGuard?

WanGuard to programowa platforma anty-DDoS firmy Andrisoft dla operatorów sieci. Łączy monitoring ruchu w czasie rzeczywistym, automatyczne wykrywanie DDoS i automatyczną ochronę przed atakami w jednym systemie działającym na standardowych serwerach Linux na Twoim własnym brzegu sieci — więc to Ty masz sprzęt, ścieżkę danych i kontrolę nad reakcją. Chroni całą sieć, nie pojedynczą hostowaną aplikację.

W przeciwieństwie do usługi scrubbingu w chmurze, WanGuard nie przekierowuje ruchu do podmiotu trzeciego. Obserwuje ruch, który już płynie przez Twoją sieć, rozpoznaje atak w kilka sekund i poleca routerom go odfiltrować. Ten model lokalny (we własnej sieci) jest sednem wdrożeń WanGuard anty-DDoS realizowanych przez ITORO dla operatorów ISP, telekomów i data center. Praktyczną stronę takiego wdrożenia opisujemy w osobnym przewodniku: instalacja WanGuard krok po kroku.

Dlaczego ochrona przed DDoS ma znaczenie dla operatorów w 2026?

Ataki DDoS są coraz większe i szybsze, a telekomy i dostawcy usług są dziś najczęściej atakowanym sektorem. W raporcie za IV kwartał 2025 Cloudflare podał, że liczba ataków DDoS wzrosła o 121% rok do roku, że automatycznie odfiltrował średnio 5 376 ataków na godzinę i że zablokował rekordowy zalew 31,4 Tbps, który trwał zaledwie 35 sekund — przy czym telekomunikacja, dostawcy usług i operatorzy byli najczęściej atakowanym sektorem w atakach hiperwolumetrycznych. (Cloudflare Q4 2025 DDoS Threat Report, luty 2026.)

Równoległe dane NETSCOUT to potwierdzają: w drugiej połowie 2025 odnotowano ponad 8 milionów ataków DDoS w 203 krajach, z czego około 42% używało od dwóch do pięciu wektorów ataku jednocześnie, a telekom był jednym z najmocniej dotkniętych sektorów. (NETSCOUT DDoS Threat Intelligence Report, wydanie 16, marzec 2026.)

Wniosek dla operatorów: ataki nasycają dziś łącza w kilkadziesiąt sekund, więc szybkość wykrywania to cała gra — a dokładnie do tego zaprojektowano WanGuarda.

Z jakich elementów składa się WanGuard?

WanGuard zbudowany jest z trzech współpracujących elementów, z których każdy skaluje się niezależnie w Twojej sieci:

• WanGuard Sensor — silnik wykrywania. Pobiera ruch (przez przechwytywanie pakietów lub dane przepływowe flow), buduje per-podsieciową linię bazową „normalnego" ruchu i podnosi anomalię w chwili, gdy ruch od niej odbiega. Występuje w dwóch odmianach: Packet Sensor (ruch z port-mirror) i Flow Sensor (przepływy eksportowane przez routery).
• WanGuard Filter (WanFilter) — silnik filtrowania ruchu. Gdy atak jest potwierdzony, stosuje granularne filtrowanie na poziomie pakietów — wdrożony inline lub jako off-ramp scrubber — by odrzucić ruch ataku, przepuszczając ruch legalny.
• WanGuard Console — wielodostępowy interfejs webowy (GUI). To centrum administracyjne, w którym widzisz pulpity na żywo, zarządzasz sensorami i filtrami, konfigurujesz progi i pobierasz raporty poincydentowe.

(Nazwy elementów i możliwości zgodnie z oficjalną dokumentacją Andrisoft WanGuard.)

Jak WanGuard wykrywa ataki DDoS?

WanGuard wykrywa ataki, nieustannie profilując Twój ruch i uruchamiając alert, gdy tempo, mieszanka pakietów lub rozkład protokołów w podsieci przełamie wyuczoną linię bazową. Najważniejszy wybór, jakiego dokonujesz, to metoda zbierania danych, bo to ona ustala szybkość i koszt wykrywania:

Port-mirror (DPDK) — najszybciej

Packet Sensor analizuje kopię Twojego ruchu przez port-mirror / SPAN, używając szybkiego przechwytywania DPDK. Widzi 100% pakietów z prędkością łącza, więc reaguje w poniżej 5 sekund — idealnie do ataków typu carpet-bomb i zalewów wolumetrycznych na łączach 100–400GE. We wdrożeniach ITORO to właśnie wykrywanie przez port-mirror umożliwia RTBH poniżej 5 sekund i granularne filtrowanie w 15–30 sekund.

Flow (NetFlow / sFlow / IPFIX) — szeroko i tanio

Flow Sensor analizuje próbkowane rekordy przepływów, które Twoje routery już eksportują — NetFlow, sFlow i IPFIX. Jest niezależny od pasma, obejmuje wiele POP-ów z jednego miejsca i skaluje się do wolumenów terabitowych niskim kosztem, ale ponieważ próbkuje, wykrywanie trwa zwykle 35–95 sekund i jest zgrubniejsze. To właściwe narzędzie dla bardzo dużych, rozproszonych brzegów, gdzie przechwytywanie każdego pakietu wszędzie nie jest praktyczne.

Większość operatorów łączy oba: DPDK port-mirror tam, gdzie szybkość liczy się najbardziej, flow wszędzie indziej. Zestawienie wykrywania z telemetrią Juniper MX daje Twojemu NOC widok na żywo zarówno ataku, jak i reakcji obronnej. Więcej o samych metodach rozpoznawania anomalii: metody wykrywania ataków DDoS.

Jak WanGuard blokuje atak?

Gdy WanGuard potwierdzi atak, uruchamia obronę automatycznie i dobiera właściwe narzędzie do zagrożenia:

• BGP FlowSpec — opcja chirurgiczna. WanGuard wypycha granularne reguły filtrujące 5-tuple wprost do płaszczyzny przekazywania (forwarding plane) Twoich routerów, więc odrzucane lub ograniczane są tylko złośliwe przepływy — z prędkością łącza, przy zachowaniu usługi online. To podstawowa metoda na nowoczesnym brzegu i fundament bramy filtrującej Juniper MX.
• RTBH (Remotely Triggered Black Hole) — ostateczność. Rozgłasza adres ofiary ze wspólnotą blackhole, więc routery nadrzędne trasują go do nikąd (null-route). RTBH poświęca jeden atakowany adres IP, by ocalić resztę sieci, dlatego WanGuard używa go tylko wtedy, gdy atak jest zbyt duży, by filtrować go granularnie.
• Scrubbing WanFilter — chirurgiczny scrubbing pakietów w DPDK, inline lub off-ramp, na wypadek gdy routery nie obsługują FlowSpec lub potrzebujesz dodatkowej warstwy filtrowania ponad FlowSpec.

Warstwa automatyzacji łączy je ze sobą: najpierw filtruj, a czarną dziurę odpalaj tylko, gdy łącza zbliżają się do nasycenia — w pełni automatycznie, z alertami do Twojego NOC.

Czym różni się WanGuard od scrubbingu w chmurze?

WanGuard filtruje ataki we własnej sieci; usługa scrubbingu w chmurze najpierw przekierowuje Twój ruch do centrum danych podmiotu trzeciego. Model lokalny reaguje szybciej (brak opóźnienia przekierowania), utrzymuje ruch i dane klientów wewnątrz Twojej sieci — ważne dla operatorów objętych regulacjami i NIS2 — i nie generuje rachunku liczonego za każdy Gbps, który rośnie wraz z wielkością ataku.

Jedno uczciwe ograniczenie: obrona we własnej sieci jest ograniczona pojemnością Twojego łącza nadrzędnego (uplink) — nie odfiltrujesz więcej, niż łącze przenosi. Dla zalewów hiperwolumetrycznych wykraczających poza pojemność łącza wdrożenia WanGuard eskalują do zewnętrznego centrum scrubbingu jako rozwiązania awaryjnego. ITORO mówi o tym klientom wprost; to marka, a nie zastrzeżenie drobnym drukiem. Szersze porównanie obu modeli: ochrona przed DDoS we własnej sieci czy w chmurze.

Dlaczego wdrażać WanGuarda z ITORO?

WanGuard jest potężny, ale jego skuteczność zależy od strojenia — per-podsieciowe linie bazowe, wykluczenia dla znanych, ciężkich klientów, progi i czyste nazewnictwo. Zrób to źle, a dostaniesz fałszywe alarmy; zrób to dobrze, a otrzymasz dokładną, automatyczną ochronę. ITORO jest ogólnoświatowym Gold Partnerem Andrisoft zbudowanym na ponad 25 latach doświadczenia w operacjach ISP i sieciowych (ponad 20 lat z Juniperem) — instalujemy, stroimy i operujemy WanGuarda jako usługę zarządzaną, od początku do końca, w tej samej cenie na całym świecie.

Zobacz, jak układa się pełne wdrożenie, na stronie WanGuard anty-DDoS, albo sprawdź aktualny cennik i kalkulator.

Najczęstsze pytania

Czy WanGuard to usługa scrubbingu w chmurze?

Nie. WanGuard to oprogramowanie hostowane we własnym zakresie, które działa na Twoich serwerach, więc zachowujesz pełną kontrolę nad ruchem i danymi — bez przekierowania do centrum scrubbingu podmiotu trzeciego i bez opłat chmurowych za każdy Gbps. ITORO instaluje, stroi i wspiera je na Twojej infrastrukturze.

Jak szybko WanGuard wykrywa atak DDoS?

To zależy od metody zbierania danych. Wykrywanie przez port-mirror (DPDK) reaguje w poniżej 5 sekund, bo analizuje każdy pakiet z prędkością łącza. Wykrywanie oparte na flow (NetFlow/sFlow/IPFIX) próbkuje ruch eksportowany przez routery, więc wykrywa zwykle w 35–95 sekund, ale skaluje się tanio do wolumenów terabitowych.

Jaka jest różnica między BGP FlowSpec a RTBH w WanGuardzie?

BGP FlowSpec odrzuca lub ogranicza tylko złośliwe przepływy z prędkością łącza, utrzymując usługę online. RTBH blokuje w czarnej dziurze cały ruch do atakowanego adresu IP — poświęca jeden adres, by chronić sieć, dlatego WanGuard używa go tylko w ostateczności, gdy atak jest zbyt duży, by filtrować go granularnie.

Jakie są elementy WanGuarda?

WanGuard ma trzy: Sensor (wykrywa ataki z pakietów port-mirror lub danych flow), Filter / WanFilter (czyści ruch ataku inline lub off-ramp) oraz Console (wielodostępowe GUI webowe do pulpitów, konfiguracji i raportowania).

Dla kogo jest WanGuard?

WanGuard jest przeznaczony dla operatorów sieci — ISP, telekomów, dostawców hostingu i data center — którzy przenoszą własny ruch i muszą chronić całą sieć, a nie pojedynczą stronę. W 2025 to właśnie one były najczęściej atakowanym sektorem w atakach hiperwolumetrycznych DDoS (Cloudflare, luty 2026).

Jak wykryć atak DDoS?

Atak wykrywa się po nagłej zmianie charakterystyki ruchu, a nie po samym wzroście transferu. Sensor analizuje przepływy (NetFlow/sFlow/IPFIX) i porównuje je z wyuczoną normą: liczbę pakietów na sekundę, rozkład portów, protokołów i krajów źródłowych. WanGuard sygnalizuje anomalię w kilka sekund, zanim usługa zdąży przestać odpowiadać.

Jak rozpoznać atak DDoS?

Typowe objawy to: usługa działa wolno lub nie odpowiada mimo sprawnych serwerów, łącze jest wysycone, rośnie liczba pakietów przy nietypowo małym ich rozmiarze, a ruch płynie z wielu adresów naraz. Kluczowe rozróżnienie: awaria zwykle dotyczy jednego elementu, atak — całego wejścia do sieci.

Czy atak DDoS trzeba komuś zgłosić?

Tak, jeśli jesteś podmiotem objętym KSC — obowiązują wtedy ustawowe terminy. Pozostałe firmy mogą zgłosić incydent dobrowolnie do CERT Polska, a każdy poszkodowany może złożyć zawiadomienie o przestępstwie. Zebraliśmy to w osobnym poradniku: gdzie zgłosić atak DDoS.

---

Źródła

• Cloudflare — Q4 2025 DDoS Threat Report (luty 2026): https://blog.cloudflare.com/ddos-threat-report-2025-q4/
• NETSCOUT — DDoS Threat Intelligence Report, wydanie 16 / 2H 2025 (marzec 2026): https://www.netscout.com/threatreport/
• Andrisoft — produkt i dokumentacja WanGuard: https://www.andrisoft.com/software/wanguard