Polscy operatorzy lokalni znów znaleźli się na celowniku. W ostatnich tygodniach branża obserwowała serię ataków DDoS wymierzonych w sieci ISP — nie tylko tych największych, lecz także firm działających lokalnie, blisko swoich klientów i społeczności.
To ważny sygnał: dostępność usług przestała być wyłącznie parametrem technicznym. Jest elementem zaufania, ciągłości działania biznesu i bezpieczeństwa całej infrastruktury, od której zależą mieszkańcy, firmy i instytucje.
Atak DDoS ma jeden podstawowy cel: pozbawić odbiorców dostępu do usługi przez zasypanie łącza, urządzeń lub serwerów ruchem, którego infrastruktura nie jest w stanie obsłużyć. Rządowe rekomendacje dla ISP wskazują wprost na potrzebę monitorowania ruchu, filtrowania, weryfikacji adresów źródłowych oraz gotowych procedur współpracy z zespołami CSIRT w razie incydentu.gov+1
Nie tylko „duzi” są celem
W ostatniej fali problem dotknął wielu lokalnych dostawców internetu w Polsce. Opisywane były zarówno zakłócenia dostępności usług, jak i przypadki otrzymywania przez operatorów żądań zapłaty za rzekomą „ochronę” przed kolejnymi atakami.cyberdefence24
To zmienia perspektywę. Pytanie nie brzmi już: „czy ktoś będzie chciał zaatakować naszą sieć?”. Znacznie bardziej praktyczne są inne pytania:
- Czy wiemy, jak wygląda normalny profil ruchu w naszej sieci?
- Czy zobaczymy anomalię odpowiednio wcześnie?
- Czy znamy limit swojej infrastruktury — łącza, urządzeń brzegowych, sesji BGP, NAT-u, DNS i platform usługowych?
- Czy mamy uzgodnioną ścieżkę eskalacji z upstreamem oraz kontakt do NOC dostępny wtedy, gdy atak trwa?
- Czy wiemy, kiedy wystarczy lokalny filtr, a kiedy konieczne jest przekierowanie ruchu do scrubbingu, blackholing lub inna ochrona realizowana wyżej w sieci?
- Czy zespół techniczny, obsługa klienta i osoby odpowiedzialne za komunikację wiedzą, co robić w pierwszych minutach incydentu?
Odporność nie powstaje w trakcie ataku. Wtedy można ją jedynie zweryfikować.
TCP SYN reflection: problem, który wykorzystuje Internet
Jednym z opisywanych obecnie wektorów jest TCP SYN reflection. Atakujący nie musi wysyłać całego ruchu bezpośrednio do ofiary. Wykorzystuje mechanizm odpowiedzi tysięcy legalnie działających serwerów w Internecie.
Schemat jest prosty, choć konsekwencje bywają dotkliwe:
- Atakujący wysyła pakiety TCP SYN do wielu serwerów obsługujących HTTP lub HTTPS.
- Fałszuje adres źródłowy pakietu tak, aby wyglądał on jak adres IP ofiary.
- Serwery odpowiadają zgodnie z zasadami protokołu TCP — pakietami SYN-ACK.
- Odpowiedzi trafiają nie do napastnika, ale do sieci ofiary.
- Skumulowany ruch może zająć łącze lub obciążyć urządzenia oraz usługi po drodze.
Ten rodzaj ataku bazuje na spoofingu adresu źródłowego i wykorzystuje zachowanie poprawnie działających serwerów jako nieświadomych reflektorów. Nie wymaga przy tym konkretnej luki w aplikacji ofiary.cyberdefence24+1
Dla operatora oznacza to, że samo „zaktualizowanie serwera” nie jest odpowiedzią na całą klasę zagrożeń. Potrzebne jest spojrzenie na pełny łańcuch: jakość filtrowania ruchu, politykę adresowania i antyspoofingu, przepustowość, telemetrię, routing, relacje z dostawcami tranzytu oraz gotowość operacyjną.
DDoS to problem operacyjny
W czasie ataku technologia jest tylko częścią układanki. Równie istotne są decyzje, które trzeba podjąć szybko i w uporządkowany sposób.
Dobrze przygotowany operator powinien mieć gotowy, przetestowany plan działania obejmujący:
- monitoring przepływów i wolumenów ruchu oraz progi alarmowe dla kluczowych usług;
- bieżącą widoczność parametrów takich jak pps, bps, liczba połączeń, stan tablic sesji i obciążenie interfejsów;
- procedurę eskalacji do operatora nadrzędnego, dostawcy ochrony DDoS lub centrum scrubbingowego;
- uzgodnione mechanizmy ograniczania skutków: filtry, rate limiting, ACL, BGP FlowSpec, RTBH lub przekierowanie ruchu do czyszczenia — dobierane do możliwości i architektury danej sieci;
- alternatywny kanał komunikacji dla zespołu, gdy podstawowe łącza, poczta lub telefonia mogą działać gorzej;
- wzory komunikatów dla klientów i partnerów, które pozwolą informować rzeczowo bez ujawniania szczegółów ułatwiających atak;
- zbieranie danych technicznych potrzebnych do analizy po incydencie: czasu rozpoczęcia, czasu trwania, kierunku ruchu, prefiksów, portów, wolumenów i zastosowanych działań mitygacyjnych.
Zalecenia publikowane dla operatorów podkreślają szczególnie monitorowanie, filtrowanie, weryfikację adresów źródłowych oraz współpracę w obsłudze incydentów z odpowiednimi CSIRT-ami.gov+1
Bezpieczeństwo i biznes są połączone
DDoS nie kończy się na wykresie ruchu w systemie monitoringu. Każda niedostępność oznacza koszt: przeciążony NOC, więcej zgłoszeń do BOK, frustrację klientów, presję na dostawców, ryzyko odejść abonentów i konieczność podejmowania decyzji inwestycyjnych często w najgorszym możliwym momencie.
Dlatego rozmowa o odporności technicznej prowadzi naturalnie do rozmowy o odporności biznesowej. Jak finansować modernizację? Kiedy budować własne kompetencje, a kiedy korzystać z usług zewnętrznych? Jak osiągnąć skalę potrzebną do negocjowania warunków ochrony, tranzytu i technologii? Jak planować rozwój w rzeczywistości po KPO?
To są pytania szczególnie ważne dla lokalnych ISP — firm, które muszą jednocześnie inwestować w sieć, spełniać rosnące wymagania bezpieczeństwa i utrzymywać rentowność działalności.
O tym porozmawiamy w Arłamowie
28 września 2026 r. rozpoczyna się iNET Meeting w Arłamowie. Agenda jest jeszcze dopracowywana, a grono partnerów wydarzenia stale się powiększa. Jeden z kluczowych tematów będzie jednak bardzo konkretny: bezpieczeństwo i „survival techniczny” w czasie, gdy ataki DDoS mogą dotykać sieci członków branży.
Chcemy rozmawiać nie tylko o samych mechanizmach ataku, ale przede wszystkim o praktyce operatora:
- jak rozpoznać sygnały ostrzegawcze;
- jak przygotować sieć i zespół przed incydentem;
- jak projektować współpracę z upstreamami i dostawcami ochrony;
- gdzie kończą się możliwości lokalnej infrastruktury;
- jak przekuć doświadczenia z incydentów w realną poprawę odporności;
- jak połączyć bezpieczeństwo z decyzjami biznesowymi dotyczącymi konsolidacji, finansowania i rozwoju po KPO.
iNET Meeting to nie tylko agenda i prezentacje. To miejsce, w którym operatorzy mogą porównać doświadczenia, nazwać problemy bez marketingowego filtra i wypracować praktyczne odpowiedzi na pytania, które coraz częściej pojawiają się w środku nocy — wtedy, gdy ruch rośnie, a dostępność usług zaczyna być zagrożona.
Sprawdź aktualne informacje
Na wieczór organizatorzy zapowiadają również before party pod egidą FixMap oraz Xbest Party z zespołem ŁZY. To mniej formalna, ale równie istotna część spotkania: okazja, aby po rozmowach o odporności, atakach i rozwoju branży po prostu spotkać ludzi, którzy mierzą się z podobnymi wyzwaniami.
