Ataki DDoS: rząd aktualizuje rekomendacje dla dostawców internetu. Co to oznacza dla Twojej firmy?
23 października 2026 r. Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa Krzysztof Gawkowski opublikował zaktualizowaną rekomendację dotyczącą ochrony dostawców internetu (ISP) przed atakami DDoS. Dokument jest adresowany do operatorów, ale jego logika dotyczy każdej firmy, która zarabia w sieci: sklepu internetowego, serwisu z rezerwacjami czy portalu dla klientów. Poniżej streszczamy rekomendację i piszemy, co z niej wynika dla Twojego biznesu.
Czym jest rekomendacja i dlaczego właśnie teraz
Rekomendacja została wydana na podstawie art. 67a ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Aktualizuje dokument z 29 czerwca 2026 r. Przygotowało ją Ministerstwo Cyfryzacji wspólnie z CSIRT NASK, CSIRT GOV i Urzędem Komunikacji Elektronicznej.
Atak DDoS (Distributed Denial of Service) polega na zalaniu infrastruktury ruchem z tysięcy rozproszonych źródeł. Żadne łącze nie ma nieograniczonej przepustowości, a żaden router nieograniczonej mocy. Gdy ruch przekroczy te granice, usługa przestaje działać dla prawdziwych użytkowników.
Rekomendacja wskazuje dwa najgroźniejsze dla operatorów typy ataków:
- ataki wolumetryczne, które zapychają całe łącze (np. UDP Flood),
- ataki na protokoły, które wyczerpują zasoby urządzeń sieciowych (np. SYN ACK flood).
Obok ogólnych zasad aktualizacja podaje konkretne wskazówki: jak przygotować plan awaryjny i łącze zapasowe, po co wdrażać IPv6, jak zapewnić dostęp administracyjny niezależny od sieci produkcyjnej i co dokładnie wpisać w zgłoszeniu do CSIRT.
15 zaleceń dla operatorów w skrócie
| Obszar | Co zaleca rekomendacja |
|---|---|
| 1. Analiza ryzyka | Systematyczne szacowanie ryzyka i środki proporcjonalne do niego, w tym inwestycje w cyberbezpieczeństwo jako element ciągłości biznesu. |
| 2. Ciągłość działania | Przećwiczony plan awaryjny, kanały komunikacji niezależne od własnej sieci (SMS, strona statusowa poza własną infrastrukturą), łącze zapasowe od innego dostawcy, telefonia niezależna od internetu, dobry peering z CDN, IPv6 dla klientów. |
| 3. Telemetria | Próbkowanie ruchu na routerach i przełącznikach, pomiar pakietów, przepływów i bitów na sekundę. |
| 4. Mitygacja | Ograniczanie lub odrzucanie ruchu atakującego, np. automatycznie przez BGP Flowspec albo filtrami i policerami na łączach WAN. |
| 5-6. Filtrowanie adresów | Blokowanie pakietów z podrobionym adresem źródłowym (BCP 38, uRPF) i adresów, które nie powinny występować w internecie (bogony). |
| 7. DNS i amplifikacja | DNS w architekturze anycast oraz blokowanie protokołów używanych do wzmacniania ataków (np. NTP, SNMP). |
| 8. Warstwa zarządzania | Oddzielenie sieci zarządzania od ruchu użytkowników i ścisłe ograniczenie dostępu administracyjnego. |
| 9-10. Wsparcie z zewnątrz | Kontakt 24/7 z operatorami nadrzędnymi, uzgodniony blackholing, umowa i przetestowana procedura przekierowania ruchu do zewnętrznego centrum oczyszczania (scrubbing center). |
| 11. Sprzęt | Wyłącznie urządzenia wspierane przez producenta i otrzymujące aktualizacje bezpieczeństwa. |
| 12. Architektura | Rozdzielenie głównych funkcji sieci na osobne urządzenia, co najmniej dwóch niezależnych dostawców tranzytu, dostęp awaryjny do urządzeń np. przez LTE. |
| 13. Ruch wychodzący | Wykrywanie zainfekowanych urządzeń klientów, które mogą stać się częścią botnetu. |
| 14-15. Zgłoszenia | Natychmiastowe zgłaszanie ataków do CSIRT (także odpartych), przechowywanie logów jako dowodów, zgłaszanie prób wymuszeń na Policję. |
Co to oznacza dla firm i sklepów internetowych
Jeśli nie jesteś operatorem telekomunikacyjnym, rekomendacja formalnie Cię nie obejmuje. Atak na dostawcę internetu albo hosting uderza jednak również w jego klientów. Sklep może działać bez zarzutu, a mimo to przez kilka godzin nie przyjąć ani jednego zamówienia.
Z dokumentu da się wyciągnąć pięć zasad, które mają zastosowanie w każdej firmie działającej online.
1. Zakładaj, że atak się wydarzy. Rekomendacja zaczyna od analizy ryzyka. Dla sklepu oznacza to proste pytania: ile tracimy na godzinie przestoju, w jakich okresach (Black Friday, święta, start kampanii) przestój boli najbardziej i kto wtedy podejmuje decyzje.
2. Komunikacja nie może zależeć od atakowanej infrastruktury. Dokument zaleca stronę statusową i kanały kontaktu hostowane poza własną siecią oraz listę kontaktów przechowywaną także offline. Jeśli Twoja strona, poczta i system zgłoszeń stoją na tym samym serwerze, atak wyłączy je wszystkie naraz.
3. Ruch warto filtrować, zanim dotrze do serwera. Operatorom zalecono umowy z zewnętrznymi centrami oczyszczania ruchu. Odpowiednikiem dla strony lub sklepu jest usługa typu CDN z ochroną przed DDoS i zaporą aplikacyjną (WAF), np. Cloudflare. Ważne, żeby konfiguracja była przygotowana i przetestowana wcześniej, a nie uruchamiana dopiero wtedy, gdy atak już trwa.
4. Aktualizuj oprogramowanie. Rekomendacja zaleca korzystanie wyłącznie ze sprzętu wspieranego przez producenta i otrzymującego aktualizacje bezpieczeństwa. Na stronie to samo dotyczy WordPressa, wtyczek i wersji PHP. Przez nieaktualne oprogramowanie łatwiej wyłączyć serwis, przejąć go i włączyć do botnetu.
5. Zgłaszaj incydenty i zachowuj dowody. Atak, zwłaszcza połączony z żądaniem okupu, warto zgłosić do CSIRT NASK (CERT Polska) przez formularz na cyber.gov.pl, a próbę wymuszenia także na Policję. Logi serwera i firewalla z czasu ataku to materiał dowodowy, więc nie należy ich kasować.
Checklista: sprawdź swoją firmę w 15 minut
- Wiem, ile kosztuje mnie godzina niedostępności strony lub sklepu.
- Strona działa za usługą z ochroną przed DDoS i zaporą WAF, a adres IP serwera nie jest publicznie widoczny.
- Mam stronę statusową lub kanał komunikacji z klientami niezależny od głównego serwera (np. social media, SMS).
- Lista kontaktów awaryjnych (hosting, agencja, dostawca DNS, bank, operator płatności) istnieje także na papierze lub w telefonie.
- DNS domeny obsługuje dostawca z infrastrukturą odporną na ataki.
- CMS, wtyczki, motyw i wersja PHP są aktualne i wspierane.
- Panel administracyjny jest chroniony uwierzytelnianiem dwuskładnikowym i ograniczeniem dostępu.
- Kopie zapasowe są wykonywane automatycznie i przechowywane poza serwerem produkcyjnym.
- Wiem, jak zgłosić incydent do CSIRT i kto w firmie to robi.
- Plan awaryjny został choć raz przećwiczony.
Mniej niż siedem zaznaczonych punktów? Zajmij się brakami przed najbliższym szczytem sprzedaży.
Podsumowanie
Rekomendacja dotyczy operatorów, ale te same zasady sprawdzą się w każdej firmie, która sprzedaje online. Ataku DDoS nie da się wykluczyć. Da się za to przygotować tak, by przestój trwał minuty zamiast godzin. Najwięcej dają trzy rzeczy: filtrowanie ruchu przed serwerem, komunikacja niezależna od atakowanej infrastruktury i przećwiczony plan działania.
W emedia zabezpieczamy i utrzymujemy strony oraz sklepy internetowe naszych klientów. Jeśli chcesz sprawdzić, jak Twoja strona lub sklep poradziłyby sobie z atakiem, skontaktuj się z nami.
Pełna treść rekomendacji: gov.pl: aktualizacja rekomendacji Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotycząca ochrony ISP przed atakami typu DDoS.
Opublikowano 27.10.2026
Rozwiń z nami swój biznes on-line
Zobacz również
