Czym są ataki DoS i DDoS?

Czym jest atak DoS? To celowa ingerencja w działanie usługi internetowej, która ma doprowadzić do awarii i uniemożliwić prawidłową obsługę napływającego w danym momencie ruchu. W praktyce wygląda to tak: ktoś sztucznie zwiększa ruch kierowany na stronę, aplikację lub portal, co kończy się całkowitym unieruchomieniem albo częściowym zablokowaniem atakowanego obiektu.

Jak przebiega to w praktyce? Zasoby w internecie mają ograniczoną liczbę jednoczesnych odwiedzin, powiedzmy 1000-2000 użytkowników naraz. Hakerzy stosujący ataki DoS generują wzmożony ruch przychodzący i zwiększają liczbę wejść dziesiątki albo setki razy. Cierpi na tym atakowany obiekt: przestaje działać lub obsługuje tylko część docelowych zapytań, co odbija się na jakości i liczbie sprzedaży.

Cele ataków DoS i DDoS

Zwykle przestępcy realizują jeden lub kilka celów ataku DoS:

Powodem takich ataków bywa nieuczciwa konkurencja, chęć czasowego wyeliminowania obiecującego projektu z gry, atak hakerski, motywy polityczne lub ideologiczne, sprzeciw wobec treści publikowanych w serwisie, maskowanie większego włamania do systemu bezpieczeństwa czy odwrócenie uwagi służb bezpieczeństwa informacji od głównego problemu.

Ofiarami ataków DDoS padają najczęściej serwery WWW znanych organizacji: banków, firm handlowych i medialnych, instytucji państwowych i organizacji branżowych, oficjalnych stron znanych osób ze świata mediów i ekspertów i tak dalej.

Historia i statystyki

Co zaskakujące, pierwszy atak DDoS odnotowano już w 1974 roku, a jego autorem był trzynastolatek ze Stanów Zjednoczonych. David Dennis odkrył ciekawą zależność: komputery na Uniwersytecie Illinois można było zawiesić określonym poleceniem. Wypróbował swoje odkrycie na 31 uczelnianych komputerach, które w efekcie przestały działać na pewien czas.

Kolejna ciekawostka: atak typu odmowa usługi może trwać bardzo długo. Utrzymanie stałego obciążenia i nieprzerwanego działania wymaga oczywiście dużych zasobów, ale jeśli wyeliminowanie konkurenta z gry na dobę lub dłużej jest tego warte – konkurencyjne firmy potrafią się na to zdecydować. Nic więc dziwnego, że najdłuższe ataki DoS przekroczyły odpowiednio 329 i 509 godzin, czyli ponad 13 i ponad 21 dni. To naprawdę sporo.

Przy okazji możesz śledzić przepływ ataków DDoS na świecie i ich rozkład regionalny w czasie rzeczywistym. Jak widać, większość źródeł znajduje się w gęsto zaludnionych, rozwiniętych ośrodkach. Liczba ataków wysyłanych w jednej chwili sięga 4,785,000.

Czym różni się atak DoS od ataku DDoS?

DDoS, czyli "Distributed Denial of Service attack" (rozproszony atak odmowy usługi), to podkategoria ogólniejszego pojęcia DoS, "Denial of Service attack". W ataku DoS haker wykorzystuje jedno połączenie z siecią i za jego pomocą zasypuje cel zapytaniami. Ataki DDoS zmieniają skalę: korzystają z tysięcy, a nawet milionów podłączonych urządzeń, często połączonych w sieć (botnety).

Skuteczność DoS jest obecnie wyjątkowo niska. Ten rodzaj ataku działa na prostej, liniowej zasadzie 1:1 – jedno źródło zagrożenia i jedna ofiara. Poza tym pojedynczy atak łatwo zauważyć po zawartości pliku dziennika i adresie IP, a zapora sieciowa bez trudu go zablokuje. Dlatego w ostatnim czasie popularniejsze stały się masowe ataki DDoS z użyciem botnetów. Jak one działają?

Botnety

Botnety to podstawowy sposób przeprowadzania rozproszonych ataków DDoS. Atakujący tworzy kontrolowaną sieć peer-to-peer złożoną z urządzeń, które przeprowadzają złośliwe ataki DDoS na ofiarę. Liczba takich maszyn bywa różna: od kilkudziesięciu do setek tysięcy. Wszystko zależy od skali kampanii. Na przejętym komputerze instalowany jest fragment złośliwego kodu lub złośliwe oprogramowanie zwane botem. Zainfekowane komputery tworzą razem sieć nazywaną botnetem. Następnie atakujący nakazuje botnetowi jednoczesne logowanie się do urządzenia lub serwera ofiary. Oznacza to, że w tym samym momencie wysyłana jest ogromna liczba żądań połączenia, znacznie przekraczająca możliwości ich obsługi. To jak atak wszystkich pszczół naraz (zobacz schemat poniżej).

Najpopularniejsze botnety to dziś: Storm, Zeus, Mariposa, Bredolab, Sality, Fast Flux i inne. Na tej stronie zobaczysz rozkład globalnych źródeł botnetów w czasie rzeczywistym.

Koszt ataków DDoS w 2025 roku

Usługę botnetu można kupić stosunkowo łatwo nie tylko w darknecie, lecz także w zwykłej sieci. W zależności od zamówionej mocy koszt usługi zaczyna się od $50 i sięga kilkudziesięciu tysięcy. Nietrudno więc wykorzystać to narzędzie jako oręż nieuczciwej konkurencji. Jednocześnie podczas ataku DDoS każda minuta przestoju małej lub średniej firmy oznacza straty, które mogą sięgać kilkudziesięciu tysięcy dolarów (w zależności od wielkości firmy), a przywrócenie usług i działalności po ataku kosztuje średnio $70,000-120,000.

W 2025 roku ataki DDoS na poziomie aplikacji wyrządziły branżom internetowym więcej szkód niż jakikolwiek inny rodzaj ataku: o 131% więcej niż w poprzednim kwartale (i o 300% rok do roku).

Objawy ataku i sposoby jego rozpoznania

Ataki DDoS nie mają wyraźnych objawów, po których od razu można powiedzieć: "Popatrz, mamy atak DDoS". Zwykle spada szybkość ładowania usługi, witryna zwraca błąd 502,503,504 albo w ogóle nie da się jej wyświetlić, rośnie liczba spamu, pojawiają się nietypowe treści, zwiększa się liczba jednoczesnych odwołań użytkowników do tych samych zasobów serwisu, występują problemy z połączeniem internetowym, pojawiają się przypadkowi odwiedzający i rozmowy na oderwane tematy i tak dalej. Warto też obserwować wielkość ruchu na portach połączeniowych oraz zmiany obciążenia pamięci RAM i procesora, które rosną wielokrotnie.

Objawy są niejednoznaczne i nie zawsze w 100% oznaczają atak na Twoją witrynę, sieć czy aplikację. Jeśli jednak się pojawiają, warto pomyśleć o zabezpieczeniach.

Jak radzić sobie z DoS i DDoS?

Zetknięcie się z takim zagrożeniem wymaga oczywiście obrony. Przed atakami DoS i DDoS można zadbać o bezpieczeństwo informacji na kilka sposobów:

Korzystaj z systemów monitorowania ruchu sieciowego

Zapewnią one kontrolę źródeł ruchu i wychwycą nietypowe skoki w sieci.

Zapory sieciowe

Zapora sieciowa to serwer reverse proxy instalowany fizycznie między internetem a serwerami firmy. Po instalacji stosuje wobec całego ruchu przychodzącego zestaw reguł ustalonych wcześniej przez administratora. Każde zdarzenie, które nie spełnia tych wymagań, jest automatycznie odrzucane.

Audyt systemów bezpieczeństwa i ewentualne zamówienie ataku DDoS u etycznego hakera

Organizacje powinny regularnie przeprowadzać ocenę ryzyka oraz audyt swoich urządzeń, serwerów i sieci. Warto okresowo testować czas odpowiedzi witryny, aby wiedzieć, co jest dla niej normą, a co już ją przekracza i może być skutkiem ataku. Przydaje się też zaangażowanie etycznego hakera, który przeprowadzi atak na witrynę w najmniej spodziewanym momencie i wskaże słabe punkty zabezpieczeń.

Korzystaj ze sztucznej inteligencji i wyspecjalizowanego oprogramowania

Narzędzia sztucznej inteligencji są znacznie bardziej elastyczne niż zwykłe oprogramowanie, ponieważ potrafią się uczyć i działać na podstawie najświeższych danych. W walce z DDoS wykorzystuje się również sieci neuronowe, więc sprawdź dostępne rozwiązania. Nie lekceważ też oprogramowania i usług wsparcia wyspecjalizowanych w obronie przed tego rodzaju atakami. Najbardziej znanym przykładem jest tu chyba Cloudflare.

Routing do czarnej dziury

Inną formą ochrony jest routing do czarnej dziury, w którym administrator sieci (lub dostawca internetu danej organizacji) tworzy trasę prowadzącą do czarnej dziury i kieruje tam ruch. Przy tej strategii cały ruch, zarówno dobry, jak i zły, trafia na trasę zerową i zostaje skutecznie usunięty z sieci. Bywa to dość radykalne rozwiązanie, ponieważ zatrzymywany jest również ruch uprawniony, co może oznaczać utratę części biznesu.