Reflection Attack

Reflection attack (atak z odbiciem) to sposób ataku na sieć, w którym napastnik podszywa się pod swoją ofiarę. Wysyła zapytania do zwykłych, legalnie działających serwerów — tak zwanych reflektorów — ale w polu „adres nadawcy” wpisuje adres IP ofiary zamiast własnego. Serwer odpowiada normalnie, tyle że odpowiedź leci nie do napastnika, lecz prosto na adres ofiary. W ten sposób niewinny serwer staje się nieświadomym narzędziem ataku. W praktyce technika ta służy niemal wyłącznie do przeciążania celu ruchem, czyli do ataków odmowy usługi. Jej rozproszony wariant nosi nazwę DRDoS (Distributed Reflection Denial of Service — rozproszony atak odmowy usługi z odbiciem). Żeby atak zadziałał, muszą być spełnione dwa warunki: napastnik musi móc sfałszować adres nadawcy (tzw. IP spoofing, najłatwiejszy w protokole UDP, który nie sprawdza nadawcy) oraz muszą istnieć publiczne usługi, które odpowiadają każdemu, kto je zapyta.

Jak działa reflection attack?

Atak przebiega w kilku krokach:

1. Wybór reflektorów. Napastnik zbiera listę publicznych serwerów odpowiadających po UDP. Mogą to być otwarte serwery DNS (tłumaczące nazwy stron na adresy), serwery czasu NTP, instancje memcached, urządzenia SSDP czy usługi CLDAP.
2. Podszycie się pod ofiarę. Do każdego reflektora trafia zapytanie, w którym jako adres nadawcy wpisano adres ofiary. UDP nie nawiązuje połączenia z góry, więc serwer nie sprawdza, kto naprawdę wysłał pakiet.
3. Odbicie ruchu. Reflektor uznaje zapytanie za prawdziwe i odsyła odpowiedź — na adres ofiary. Z punktu widzenia celu ruch wygląda, jakby pochodził od tysięcy zwykłych serwerów, a nie od napastnika.
4. Zalanie łącza. Odpowiedzi z wielu reflektorów naraz (zapytania rozsyła botnet) zapychają łącze ofiary lub jej serwery. Usługa przestaje działać.

Przy okazji napastnik ukrywa swoją tożsamość: ofiara widzi adresy reflektorów, a prawdziwe źródło pozostaje niewidoczne. Tym reflection attack różni się od zwykłego zalewania ruchem prosto z botnetu, gdzie widać adresy atakujących maszyn.

Czym różni się reflection od amplification?

To dwa osobne mechanizmy, choć zwykle występują razem:

• Reflection (odbicie) dotyczy kierunku ruchu. Dzięki sfałszowanemu adresowi nadawcy odpowiedź serwera leci na ofiarę. Samo odbicie nie zwiększa ilości danych.
• Amplification (wzmocnienie) dotyczy rozmiaru. Napastnik dobiera takie zapytania, na które serwer odpowiada pakietem znacznie większym niż samo pytanie. Stosunek rozmiaru odpowiedzi do zapytania nazywa się współczynnikiem wzmocnienia (BAF, bandwidth amplification factor).

W praktyce większość ataków DRDoS łączy oba na raz: napastnik wysyła małe zapytanie z podszyciem, a reflektor odbija na ofiarę dużą odpowiedź. Samo odbicie bez wzmocnienia jest możliwe, ale mało opłacalne. Z kolei samo wzmocnienie bez odbicia nie ma sensu — to właśnie odbicie sprawia, że duża odpowiedź trafia do ofiary, a nie do napastnika.

Jakie protokoły wykorzystuje reflection attack?

Najczęściej nadużywane są usługi działające po UDP, bo ten protokół nie sprawdza, kto wysłał zapytanie. Oto typowe wektory i ich orientacyjne wzmocnienie:

• DNS (port 53/UDP) — zapytania typu ANY lub o duże rekordy do otwartych serwerów DNS; wzmocnienie rzędu kilkudziesięciu razy.
• NTP (port 123/UDP) — komenda monlist zwraca listę ostatnich klientów serwera czasu; bardzo wysokie wzmocnienie, nawet kilkaset razy.
• memcached (port 11211/UDP) — pamięć podręczna wystawiona do internetu bez hasła; ekstremalne wzmocnienie, w rekordowych atakach rzędu dziesiątek tysięcy razy.
• SSDP (port 1900/UDP) — urządzenia UPnP odpowiadające na zapytania o dostępne usługi w sieci.
• CLDAP (port 389/UDP) — odmiana protokołu katalogowego LDAP po UDP, częsty wektor wzmocnienia.
• SNMP (port 161/UDP), Chargen (19/UDP), QOTD (17/UDP) i inne starsze usługi.

Odbicie da się też zrobić po TCP (np. nadużywając pakietów SYN/ACK serwerów jako reflektorów), ale UDP wciąż dominuje, bo podszycie się jest w nim najłatwiejsze.

Reflection attack a kryptograficzny atak z odbiciem

Nazwa „reflection attack” ma jeszcze drugie, węższe znaczenie — z obszaru logowania i uwierzytelniania. W kryptograficznym ataku z odbiciem napastnik nadużywa protokołu typu pytanie–odpowiedź (challenge–response). Gdy obie strony potwierdzają tożsamość tym samym sekretem i tą samą metodą, atakujący odsyła ofierze jej własne pytanie w drugiej, równoległej sesji. Ofiara grzecznie liczy poprawną odpowiedź, a napastnik używa jej, żeby samemu się zalogować. Obroną jest m.in. to, by pytania jednej i drugiej strony różniły się od siebie oraz by dołączać do nich identyfikatory uczestników. To zupełnie inny mechanizm niż opisany wyżej atak DDoS — łączy je tylko nazwa i ogólny pomysł „odbicia”. W kontekście monitoringu sieci i ataków zalewających ruchem „reflection attack” oznacza wariant DRDoS.

Jak wykrywać reflection attack w sieci?

Z punktu widzenia zespołów bezpieczeństwa (SOC) i monitoringu sieci (NDR) atak z odbiciem zostawia charakterystyczne ślady w danych o przepływach ruchu (NetFlow/IPFIX/sFlow) oraz w samych pakietach:

• Niepasujące porty. Duży ruch przychodzący z portu źródłowego typowego dla reflektora (53, 123, 11211, 1900, 389) kierowany do jednego celu — choć nikt z tej sieci wcześniej o nic nie pytał.
• Wielu nadawców, jeden cel. Tysiące różnych adresów (reflektorów) zbiegających się na jednym adresie lub jednej puli adresów ofiary.
• Nagły skok ruchu. Gwałtowny wzrost przepustowości (bity na sekundę) lub liczby pakietów, często przy dużym średnim rozmiarze pakietu (to efekt wzmocnienia).
• Odpowiedzi bez pytań. Odpowiedzi DNS czy NTP, do których nie było żadnych zapytań wychodzących — klasyczny sygnał odbitego ruchu.
• Twoja sieć jako reflektor. Równie ważne jest pilnowanie ruchu wychodzącego. Jeśli własny otwarty serwer DNS lub NTP odpowiada na zapytania z całego świata, to znak, że ktoś używa naszej infrastruktury do ataku na kogoś innego.

Zestawienie danych o przepływach z listą znanych portów wzmacniających oraz z normalnym poziomem ruchu (baseline) pozwala odróżnić atak od zwykłego skoku i ustalić, czy organizacja jest celem, czy nieświadomym reflektorem.

Jak ograniczyć ryzyko reflection attack?

Skuteczna obrona działa na dwóch poziomach: w sieciach źródłowych (żeby podszycie było niemożliwe) i u celu (żeby przetrwać zalew):

• Filtrowanie ruchu na wejściu (BCP38 / BCP84). Operatorzy i firmy powinni odrzucać na brzegu sieci pakiety, których adres nadawcy nie należy do ich własnej puli adresów. To usuwa podstawowy warunek ataku — możliwość sfałszowania adresu nadawcy.
• Zamykanie i utwardzanie reflektorów. Ograniczenie serwerów DNS do zaufanych klientów, wyłączenie komendy monlist w NTP, niewystawianie memcached do internetu, blokada nieużywanych portów UDP na brzegu.
• Ograniczanie tempa odpowiedzi (RRL, Response Rate Limiting) na serwerach DNS oraz limity zapytań na poziomie usługi.
• Obrona u operatora lub w sieci CDN. Filtrowanie i „czyszczenie” ruchu (scrubbing) zanim dotrze on do łącza ofiary. Ataku większego niż własne łącze nie da się odeprzeć samodzielnie.
• Monitoring i baseline. Ciągła analiza danych o przepływach z alertami na nietypowe porty źródłowe i skoki ruchu, co skraca czas wykrycia i reakcji.

Dowiedz się więcej

• ARP Spoofing – jak wykryć atak Man-in-the-Middle i zatruwanie ARP w sieci LAN — ARP spoofing pozwala podmienić odpowiedzi w komunikacji, co bywa używane także w reflection attack.
• Czym jest atak DDoS i jak się przed nim chronić w 2026 roku — Reflection attack to jedna z technik DDoS, w której odpowiedzi trafiają do ofiary po podszyciu się pod źródło.
• Compliance i regulacje z Sycope — Reflection attack może naruszać wymagania ciągłości działania i ochrony usług objętych compliance.
• Podatność IDOR – jak wykryć atak na aplikacje webowe przez analizę ruchu HTTP — IDOR dotyczy aplikacji webowych, a reflection attack wykorzystuje inne warstwy protokołów i ruch sieciowy.
• Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — NetFlow pomaga wykryć nagły wzrost odpowiedzi charakterystyczny dla reflection attack.
• Błędy konfiguracji sieci – jak unikać network configuration errors i poprawić konfigurację routera — Błędy konfiguracji, np. brak filtrowania spoofingu, mogą ułatwić reflection attack.
• Zaawansowane metody ochrony przed atakami DDoS w firmach — Reflection attack jest jedną z form DDoS, którą opisują zaawansowane metody ochrony.