{"id":4725,"date":"2026-08-11T20:58:51","date_gmt":"2026-08-11T18:58:51","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4725"},"modified":"2026-08-12T19:00:41","modified_gmt":"2026-08-12T17:00:41","slug":"amplification-attack","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/amplification-attack","title":{"rendered":"Amplification Attack"},"content":{"rendered":"<p><strong>Atak amplifikacyjny<\/strong> (ang. <em>amplification attack<\/em>) to rodzaj ataku <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ddos-distributed-denial-of-service\">DDoS<\/a>, w kt\u00f3rym napastnik zalewa ofiar\u0119 ogromn\u0105 ilo\u015bci\u0105 ruchu, cho\u0107 sam wysy\u0142a go niewiele. Sztuczka polega na tym, \u017ce atakuj\u0105cy nadu\u017cywa publicznie dost\u0119pnych serwer\u00f3w (najcz\u0119\u015bciej dzia\u0142aj\u0105cych na protokole UDP) jako wzmacniaczy. Wysy\u0142a do nich ma\u0142e zapytania, ale podaje fa\u0142szywy adres nadawcy \u2014 adres ofiary. Serwery grzecznie odpowiadaj\u0105, tyle \u017ce du\u017co wi\u0119kszymi pakietami i kieruj\u0105 je nie do napastnika, lecz do ofiary. To, ile razy odpowied\u017a jest wi\u0119ksza od zapytania, nazywamy <strong>wsp\u00f3\u0142czynnikiem amplifikacji<\/strong> (amplification factor).<\/p>\n<h2>Jak dzia\u0142a atak amplifikacyjny?<\/h2>\n<p>W tym ataku spotykaj\u0105 si\u0119 dwa mechanizmy: <strong>refleksja<\/strong> (odbicie) i <strong>amplifikacja<\/strong> (wzmocnienie). Refleksja oznacza, \u017ce ruch nie leci do ofiary wprost, tylko \u201eodbija si\u0119\u201d od zwyk\u0142ych, legalnych serwer\u00f3w \u2014 pe\u0142ni\u0105 one rol\u0119 po\u015brednik\u00f3w (reflektor\u00f3w). Amplifikacja to po prostu fakt, \u017ce odpowied\u017a jest wi\u0119ksza od zapytania. \u017beby to zadzia\u0142a\u0142o, napastnik musi umie\u0107 podszy\u0107 si\u0119 pod adres IP ofiary. Dlatego ataki te niemal zawsze opieraj\u0105 si\u0119 na UDP \u2014 protokole bezpo\u0142\u0105czeniowym, kt\u00f3ry nie sprawdza, kto naprawd\u0119 wys\u0142a\u0142 zapytanie (w przeciwie\u0144stwie do TCP, gdzie najpierw odbywa si\u0119 tzw. handshake, czyli wzajemne potwierdzenie nadawcy i odbiorcy).<\/p>\n<ol>\n<li><strong>Znalezienie reflektor\u00f3w.<\/strong> Napastnik skanuje internet w poszukiwaniu \u017ale skonfigurowanych, otwartych us\u0142ug: otwartych resolver\u00f3w <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a>, serwer\u00f3w NTP z w\u0142\u0105czon\u0105 komend\u0105 <code>monlist<\/code>, instancji Memcached nas\u0142uchuj\u0105cych na UDP czy urz\u0105dze\u0144 SSDP\/SNMP.<\/li>\n<li><strong>Podmiana adresu nadawcy.<\/strong> W wysy\u0142anych pakietach pole adresu \u017ar\u00f3d\u0142owego zostaje podmienione na adres ofiary (tzw. IP spoofing). Da si\u0119 to zrobi\u0107, gdy sie\u0107 po drodze nie filtruje ruchu wychodz\u0105cego (brak mechanizmu BCP38).<\/li>\n<li><strong>Wys\u0142anie ma\u0142ych zapyta\u0144.<\/strong> Zwykle przy u\u017cyciu botnetu napastnik wysy\u0142a do tysi\u0119cy reflektor\u00f3w kr\u00f3tkie \u017c\u0105dania tak dobrane, by wywo\u0142a\u0107 jak najwi\u0119ksz\u0105 odpowied\u017a (na przyk\u0142ad zapytanie DNS o typ <code>ANY<\/code>).<\/li>\n<li><strong>Odbicie i wzmocnienie.<\/strong> Ka\u017cdy reflektor odsy\u0142a odpowied\u017a \u2014 wielokrotnie wi\u0119ksz\u0105 od zapytania \u2014 na podany fa\u0142szywy adres, czyli do ofiary.<\/li>\n<li><strong>Wyczerpanie \u0142\u0105cza.<\/strong> Ruch z wielu reflektor\u00f3w sumuje si\u0119 i zapycha pasmo lub zasoby ofiary, przez co nie jest ona w stanie obs\u0142u\u017cy\u0107 normalnego ruchu.<\/li>\n<\/ol>\n<h2>Czym jest wsp\u00f3\u0142czynnik amplifikacji?<\/h2>\n<p>Wsp\u00f3\u0142czynnik amplifikacji m\u00f3wi, ile bajt\u00f3w odpowiedzi trafia do ofiary na ka\u017cdy bajt zapytania wys\u0142anego przez napastnika. Im jest wy\u017cszy, tym mniej wysi\u0142ku kosztuje atakuj\u0105cego wygenerowanie du\u017cego ruchu. W przypadku DNS wsp\u00f3\u0142czynnik ten mo\u017ce wynosi\u0107 od kilku do kilkudziesi\u0119ciu razy, a w sprzyjaj\u0105cych konfiguracjach si\u0119ga\u0107 oko\u0142o 50x lub wi\u0119cej. Przyk\u0142adowo zapytanie DNS o rozmiarze oko\u0142o 60 bajt\u00f3w mo\u017ce wywo\u0142a\u0107 odpowied\u017a przekraczaj\u0105c\u0105 3000 bajt\u00f3w \u2014 to wsp\u00f3\u0142czynnik rz\u0119du 50. Orientacyjne warto\u015bci dla typowych wektor\u00f3w:<\/p>\n<ul>\n<li><strong>DNS<\/strong> \u2014 zwykle rz\u0119du kilkudziesi\u0119ciu, w skrajnych konfiguracjach do oko\u0142o 50\u2013100x.<\/li>\n<li><strong>NTP<\/strong> (komenda <code>monlist<\/code>) \u2014 oko\u0142o 50\u2013500x.<\/li>\n<li><strong>SSDP<\/strong> \u2014 oko\u0142o 30x.<\/li>\n<li><strong>SNMP<\/strong> \u2014 kilkaset razy w niekorzystnych konfiguracjach.<\/li>\n<li><strong>Memcached<\/strong> \u2014 skrajnie wysoki; raportowano rz\u0119du 10 000\u201351 000x (alert CISA z 2018 r.).<\/li>\n<\/ul>\n<p>Warto\u015bci te zale\u017c\u0105 od protoko\u0142u, konfiguracji reflektora i tre\u015bci zapytania, dlatego nale\u017cy je traktowa\u0107 jako rz\u0119dy wielko\u015bci, a nie sta\u0142e liczby.<\/p>\n<h2>Czym r\u00f3\u017cni si\u0119 refleksja od amplifikacji?<\/h2>\n<p>To dwa r\u00f3\u017cne poj\u0119cia, cho\u0107 zwykle wyst\u0119puj\u0105 razem. <strong>Refleksja<\/strong> dotyczy ukrycia napastnika: ruch dociera do ofiary \u201eodbity\u201d od neutralnych serwer\u00f3w, wi\u0119c trudno ustali\u0107, kto naprawd\u0119 stoi za atakiem. <strong>Amplifikacja<\/strong> dotyczy skali: odpowied\u017a jest wi\u0119ksza od zapytania, co zwielokrotnia si\u0142\u0119 uderzenia. Mo\u017cliwa jest refleksja bez du\u017cego wzmocnienia (zwyk\u0142e odbicie pakietu), ale w praktyce ataki wolumetryczne wykorzystuj\u0105 oba efekty naraz. Takie po\u0142\u0105czenie bywa nazywane atakiem DRDoS (Distributed Reflection <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dos-denial-of-service\">Denial of Service<\/a>).<\/p>\n<h2>Najcz\u0119stsze wektory atak\u00f3w amplifikacyjnych<\/h2>\n<ul>\n<li><strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns-amplification\">DNS Amplification<\/a><\/strong> \u2014 nadu\u017cycie otwartych resolver\u00f3w DNS; zapytania o rekordy generuj\u0105ce du\u017ce odpowiedzi (np. typ <code>ANY<\/code>, DNSSEC) na porcie <code>53\/UDP<\/code>.<\/li>\n<li><strong>NTP Amplification<\/strong> \u2014 nadu\u017cycie komendy <code>monlist<\/code> na nieaktualnych serwerach NTP (port <code>123\/UDP<\/code>), kt\u00f3ra zwraca list\u0119 ostatnich klient\u00f3w.<\/li>\n<li><strong>Memcached Amplification<\/strong> \u2014 nadu\u017cycie instancji Memcached wystawionych do internetu na porcie <code>11211\/UDP<\/code>; \u017ar\u00f3d\u0142o rekordowych atak\u00f3w z 2018 r.<\/li>\n<li><strong>SSDP Amplification<\/strong> \u2014 nadu\u017cycie protoko\u0142u UPnP\/SSDP (port <code>1900\/UDP<\/code>) w niezabezpieczonych urz\u0105dzeniach domowych i IoT.<\/li>\n<li><strong>SNMP \/ CLDAP \/ CharGen<\/strong> \u2014 starsze us\u0142ugi UDP, kt\u00f3re przy b\u0142\u0119dnej ekspozycji r\u00f3wnie\u017c dzia\u0142aj\u0105 jak reflektory.<\/li>\n<\/ul>\n<h2>Dlaczego ataki amplifikacyjne s\u0105 wa\u017cne dla bezpiecze\u0144stwa i monitoringu sieci?<\/h2>\n<p>Z punktu widzenia obrony atak amplifikacyjny jest gro\u017any z trzech powod\u00f3w: napastnik dzia\u0142a ma\u0142ym nak\u0142adem, jego adres jest ukryty za reflektorami, a sam ruch wygl\u0105da jak zwyczajne, legalne odpowiedzi protoko\u0142\u00f3w. Dla zespo\u0142\u00f3w <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a> i system\u00f3w monitoringu sieci (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ipfix\">IPFIX<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/sflow\">sFlow<\/a>) kluczowe jest wychwytywanie <strong>anomalii wolumetrycznych w telemetrii przep\u0142yw\u00f3w<\/strong> \u2014 nag\u0142ego skoku ruchu z konkretnych port\u00f3w \u017ar\u00f3d\u0142owych UDP (np. <code>53<\/code>, <code>123<\/code>, <code>11211<\/code>, <code>1900<\/code>) kierowanego do jednego adresu lub podsieci. Charakterystyczne znaki to du\u017co odpowiedzi, kt\u00f3rych nie poprzedzi\u0142o \u017cadne zapytanie, oraz nietypowo du\u017ca liczba bajt\u00f3w przypadaj\u0105ca na pakiet. Co istotne, organizacja mo\u017ce by\u0107 nie tylko celem, lecz tak\u017ce nie\u015bwiadomym <strong>reflektorem<\/strong> \u2014 dlatego monitoring powinien wykrywa\u0107 te\u017c ruch wychodz\u0105cy, kt\u00f3ry zdradza nadu\u017cycie w\u0142asnych us\u0142ug.<\/p>\n<h2>Jak ogranicza\u0107 ryzyko atak\u00f3w amplifikacyjnych?<\/h2>\n<ol>\n<li><strong>Filtrowanie ruchu wychodz\u0105cego (BCP38 \/ source address validation).<\/strong> Operatorzy i firmy powinni odrzuca\u0107 wychodz\u0105ce pakiety ze sfa\u0142szowanym adresem nadawcy \u2014 to podstawowy mechanizm, kt\u00f3ry ucina spoofing u \u017ar\u00f3d\u0142a.<\/li>\n<li><strong>Zamykanie i utwardzanie otwartych us\u0142ug.<\/strong> Wy\u0142\u0105czenie rekursji DNS dla nieautoryzowanych klient\u00f3w, aktualizacja NTP (usuni\u0119cie <code>monlist<\/code>), odci\u0119cie Memcached i SNMP od publicznego internetu.<\/li>\n<li><strong>Response <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rate-limiting\">Rate Limiting<\/a> (RRL)<\/strong> na serwerach DNS, czyli ograniczanie liczby identycznych odpowiedzi wysy\u0142anych do jednego adresu.<\/li>\n<li><strong>Ograniczanie tempa i filtrowanie po stronie sieci.<\/strong> Limity ruchu per IP\/podsie\u0107, listy ACL, blokowanie niespodziewanych odpowiedzi UDP na brzegu sieci.<\/li>\n<li><strong>Scrubbing i ochrona anty-DDoS.<\/strong> Przekierowanie ruchu przez centra czyszcz\u0105ce (scrubbing) i us\u0142ugi mitygacji, kt\u00f3re poch\u0142aniaj\u0105 wolumen ataku.<\/li>\n<li><strong>Monitoring i wczesne wykrywanie.<\/strong> Analiza telemetrii przep\u0142yw\u00f3w i wykrywanie anomalii, by rozpozna\u0107 atak (oraz ewentualne nadu\u017cycie w\u0142asnej infrastruktury), zanim wysyci \u0142\u0105cze.<\/li>\n<\/ol>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/http-flood\">HTTP Flood<\/a> \u2014 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/http-https\">HTTP<\/a> Flood wykorzystuje du\u017c\u0105 liczb\u0119 \u017c\u0105da\u0144, podobnie jak amplification attack zwi\u0119ksza wolumen ruchu.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/application-layer-attack-l7\">Application Layer Attack (L7)<\/a> \u2014 Amplification Attack mo\u017ce by\u0107 u\u017cywany jako forma ataku na warstw\u0119 aplikacji, gdy ruch jest mno\u017cony.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/slowloris\">Slowloris<\/a> \u2014 Slowloris i amplification attack to r\u00f3\u017cne techniki DDoS, ale oba prowadz\u0105 do przeci\u0105\u017cenia us\u0142ugi.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4725","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Amplification Attack","ikona":"","krotki_opis":"Atak DDoS, w kt\u00f3rym napastnik podszywa si\u0119 pod IP ofiary i nadu\u017cywa us\u0142ug UDP (DNS, NTP, Memcached), by odbi\u0107 ku niej ruch wielokrotnie wi\u0119kszy od wys\u0142anych zapyta\u0144."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4725","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4725"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}