{"id":4735,"date":"2026-08-11T20:58:52","date_gmt":"2026-08-11T18:58:52","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4735"},"modified":"2026-08-12T19:00:53","modified_gmt":"2026-08-12T17:00:53","slug":"blackholing-rtbh","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/blackholing-rtbh","title":{"rendered":"Blackholing \/ RTBH"},"content":{"rendered":"<p><strong>Blackholing<\/strong> (routing do czarnej dziury) to technika obrony sieci, w kt\u00f3rej wybrany ruch jest celowo kierowany do interfejsu pustego (<code>Null0<\/code> \/ <code>discard<\/code>) i tam po cichu odrzucany \u2014 bez odsy\u0142ania nadawcy \u017cadnego komunikatu o b\u0142\u0119dzie. Pakiety po prostu znikaj\u0105. <strong>RTBH<\/strong> (<em>Remotely Triggered Black Hole<\/em>, zdalnie wyzwalane blackholowanie) to jej zautomatyzowana wersja. Operator z jednego miejsca (router wyzwalaj\u0105cy) rozg\u0142asza tras\u0119 do odrzucenia przez protok\u00f3\u0142 <code>BGP<\/code>, a wszystkie routery brzegowe od razu zaczynaj\u0105 wyrzuca\u0107 ruch kierowany na wskazany adres. Najcz\u0119\u015bciej u\u017cywa si\u0119 tego do szybkiego gaszenia wolumetrycznych atak\u00f3w <code>DDoS<\/code> w warstwie 3\/4 \u2014 czyli takich, kt\u00f3re zalewaj\u0105 \u0142\u0105cze sam\u0105 ilo\u015bci\u0105 pakiet\u00f3w.<\/p>\n<h2>Jak dzia\u0142a RTBH?<\/h2>\n<p>RTBH wykorzystuje ju\u017c istniej\u0105c\u0105 sesj\u0119 <code>iBGP<\/code> jako kana\u0142 steruj\u0105cy \u2014 co\u015b w rodzaju wewn\u0119trznego radia, kt\u00f3rym routery uzgadniaj\u0105 trasy. Zamiast logowa\u0107 si\u0119 r\u0119cznie na ka\u017cdy router, operator wpisuje jedn\u0105 tras\u0119 na routerze wyzwalaj\u0105cym, a <code>BGP<\/code> roznosi j\u0105 do pozosta\u0142ych w kilka sekund. Ca\u0142y cykl wygl\u0105da tak:<\/p>\n<ol>\n<li><strong>Trasa do odrzucania (discard route)<\/strong> \u2014 na routerach brzegowych z g\u00f3ry przygotowana jest statyczna trasa, kt\u00f3ra kieruje specjalny adres next-hop (np. z puli testowej <code>TEST-NET 192.0.2.0\/24<\/code> lub z adres\u00f3w prywatnych <code>RFC 1918<\/code>) do interfejsu <code>Null0<\/code>.<\/li>\n<li><strong>Wyzwolenie<\/strong> \u2014 operator rozg\u0142asza przez <code>BGP<\/code> prefiks atakowanego celu (zwykle pojedynczy adres, <code>\/32<\/code>) z next-hopem ustawionym na ten adres discard.<\/li>\n<li><strong>Propagacja<\/strong> \u2014 routery brzegowe odbieraj\u0105 rozg\u0142oszenie i u siebie rozwi\u0105zuj\u0105 next-hop na <code>Null0<\/code>, wi\u0119c ruch do tego prefiksu jest wyrzucany ju\u017c na wej\u015bciu do sieci.<\/li>\n<li><strong>Wycofanie<\/strong> \u2014 gdy atak ustaje, tras\u0119 si\u0119 cofa i ruch do celu wraca do normalnego przep\u0142ywu.<\/li>\n<\/ol>\n<p>Samo wyzwolenie robi si\u0119 na dwa sposoby. <strong>Metoda next-hop<\/strong>: router wyzwalaj\u0105cy od razu ustawia atrybut next-hop. Albo przez <strong>spo\u0142eczno\u015bci <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/bgp-border-gateway-protocol\">BGP<\/a><\/strong> (<code>BGP communities<\/code>): trasa dostaje znacznik (community), a regu\u0142y na routerach brzegowych zamieniaj\u0105 ten znacznik na next-hop discard. Metoda ze spo\u0142eczno\u015bciami jest wygodniejsza i to ona dominuje w relacjach z dostawcami i na punktach wymiany ruchu.<\/p>\n<h2>Blackholing po adresie docelowym a po adresie \u017ar\u00f3d\u0142owym<\/h2>\n<p>S\u0105 dwa warianty RTBH, opisane m.in. w <code>RFC 5635<\/code>:<\/p>\n<ul>\n<li><strong>Destination-based RTBH<\/strong> (po adresie docelowym) \u2014 najcz\u0119stszy. Wyrzucany jest ca\u0142y ruch kierowany <em>do<\/em> atakowanego adresu IP. Dzia\u0142a od razu i nie obchodzi go, z ilu \u017ar\u00f3de\u0142 leci atak. Minus: odcina ofiar\u0119 od reszty internetu (o tym za chwil\u0119).<\/li>\n<li><strong>Source-based RTBH<\/strong> (po adresie \u017ar\u00f3d\u0142owym) \u2014 wyrzucany jest ruch <em>od<\/em> wskazanych adres\u00f3w \u017ar\u00f3d\u0142owych. Wymaga w\u0142\u0105czenia <code>uRPF<\/code> (<em>Unicast Reverse Path Forwarding<\/em>): router patrzy, sk\u0105d przyszed\u0142 pakiet, i je\u015bli trasa powrotna do tego \u017ar\u00f3d\u0142a prowadzi do <code>Null0<\/code>, kontrola uRPF nie przechodzi i pakiet leci do kosza. Pozwala zablokowa\u0107 napastnika bez wy\u0142\u0105czania celu, ale dzia\u0142a tylko gdy \u017ar\u00f3de\u0142 jest niewiele i nie podszywaj\u0105 si\u0119 pod cudze adresy.<\/li>\n<\/ul>\n<h2>Dlaczego RTBH bywa \u201ezwyci\u0119stwem atakuj\u0105cego\u201d?<\/h2>\n<p>Blackholing po adresie docelowym to narz\u0119dzie t\u0119pe: wyrzuca ruch dobry i z\u0142y bez rozr\u00f3\u017cnienia. Skierowanie prefiksu ofiary do czarnej dziury sprawia, \u017ce us\u0142uga staje si\u0119 <strong>niedost\u0119pna dla wszystkich<\/strong> \u2014 a o to w\u0142a\u015bnie chodzi\u0142o napastnikowi. Z punktu widzenia operatora to mimo wszystko cz\u0119sto rozs\u0105dny wyb\u00f3r: po\u015bwi\u0119ca si\u0119 jeden adres, \u017ceby uratowa\u0107 \u0142\u0105cza, routery i pozosta\u0142e us\u0142ugi przed przeci\u0105\u017ceniem. Dlatego RTBH traktuje si\u0119 jak <strong>tria\u017c<\/strong> i ostatni\u0105 lini\u0119 obrony dla pojedynczych, mniej krytycznych cel\u00f3w \u2014 a nie jak docelow\u0105 ochron\u0119 us\u0142ug, kt\u00f3re musz\u0105 by\u0107 dost\u0119pne non stop. Dochodz\u0105 do tego dalsze ograniczenia:<\/p>\n<ul>\n<li><strong>Wsp\u00f3\u0142dzielone IP<\/strong> \u2014 gdy na jednym adresie siedzi wielu najemc\u00f3w (hosting, CDN, NAT), blackhole wy\u0142\u0105cza ich wszystkich naraz.<\/li>\n<li><strong>Ataki warstwy 7<\/strong> \u2014 floody aplikacyjne (<code>HTTP<\/code>, boty) nie daj\u0105 si\u0119 za\u0142atwi\u0107 logik\u0105 \u201eadres do <code>Null0<\/code>\u201d; potrzeba tu filtrowania, kt\u00f3re patrzy na tre\u015b\u0107 ruchu.<\/li>\n<li><strong>Brak wgl\u0105du<\/strong> \u2014 odrzucony ruch znika bez \u015bladu, je\u015bli wcze\u015bniej nie zadbano o telemetri\u0119.<\/li>\n<\/ul>\n<h2>Czym RTBH r\u00f3\u017cni si\u0119 od BGP FlowSpec i scrubbingu?<\/h2>\n<p>RTBH, <code>BGP FlowSpec<\/code> i scrubbing to trzy poziomy precyzji w obronie przed <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ddos-distributed-denial-of-service\">DDoS<\/a>, cz\u0119sto u\u017cywane razem:<\/p>\n<ul>\n<li><strong>RTBH<\/strong> \u2014 dzia\u0142a na poziomie ca\u0142ego adresu\/prefiksu docelowego (albo \u017ar\u00f3d\u0142owego z uRPF). Akcja zero-jedynkowa: wyrzu\u0107 wszystko. Najszybszy do wdro\u017cenia, ale najbole\u015bniejszy dla ofiary.<\/li>\n<li><strong>BGP <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/flowspec\">FlowSpec<\/a><\/strong> (<code>RFC 8955<\/code>) \u2014 rozg\u0142asza przez BGP du\u017co dok\u0142adniejsze regu\u0142y: adres \u017ar\u00f3d\u0142owy i docelowy, protok\u00f3\u0142, porty <code>L4<\/code>, d\u0142ugo\u015b\u0107 pakietu, fragmentacj\u0119. Mo\u017ce nie tylko odrzuca\u0107, ale te\u017c ogranicza\u0107 tempo, pr\u00f3bkowa\u0107 czy przekierowywa\u0107. Dzi\u0119ki temu odcina sam ruch ataku, a legalny ruch do tej samej ofiary zostaje.<\/li>\n<li><strong>Scrubbing<\/strong> \u2014 przekierowuje ruch (przez BGP lub <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a>) do centrum czyszcz\u0105cego, kt\u00f3re dok\u0142adnie prze\u015bwietla pakiety, wyrzuca atak i oddaje czysty ruch. Najprecyzyjniejszy i najdro\u017cszy; dok\u0142ada <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/latency-opoznienie\">op\u00f3\u017anienie<\/a> i wymaga przekierowania trasy.<\/li>\n<\/ul>\n<p>Dojrza\u0142a strategia zwykle \u0142\u0105czy je tak: <code>FlowSpec<\/code> lub scrubbing do precyzyjnej, ci\u0105g\u0142ej obrony, a RTBH jako szybki bezpiecznik na chwil\u0119, gdy atak przerasta pojemno\u015b\u0107 \u0142\u0105czy albo centrum czyszcz\u0105cego.<\/p>\n<h2>RTBH na punktach wymiany ruchu (IXP) i u dostawc\u00f3w<\/h2>\n<p>Operatorzy cz\u0119sto nie blackholuj\u0105 u siebie, lecz \u201ewy\u017cej\u201d \u2014 u dostawcy tranzytu albo na punkcie wymiany ruchu (<code>IXP<\/code>). Sygnalizuje si\u0119 to ustandaryzowan\u0105 spo\u0142eczno\u015bci\u0105 BGP blackhole <code>65535:666<\/code> doczepion\u0105 do rozg\u0142aszanego prefiksu. Dzi\u0119ki temu ruch ataku zostaje wyrzucony, zanim w og\u00f3le dotrze do \u0142\u0105cza ofiary \u2014 czyli zanim zatka si\u0119 najw\u0119\u017csze gard\u0142o. RTBH stoi jednak na zaufaniu i poprawnej walidacji: rozg\u0142asza\u0107 wolno tylko w\u0142asne prefiksy, a same trasy blackhole trzeba pilnowa\u0107 znacznikiem <code>NO_EXPORT<\/code> i filtrami na wyj\u015bciu, \u017ceby przypadkiem nie wyciek\u0142y i nie zdj\u0119\u0142y ruchu na du\u017c\u0105 skal\u0119.<\/p>\n<h2>Dlaczego RTBH jest wa\u017cny dla bezpiecze\u0144stwa i monitoringu sieci?<\/h2>\n<p>RTBH ma sens tylko wtedy, gdy stoi za nim <strong>wykrywanie<\/strong>. Decyzja \u201ekt\u00f3ry prefiks wys\u0142a\u0107 do czarnej dziury\u201d musi wynika\u0107 z telemetrii, a nie z domys\u0142\u00f3w \u2014 dlatego blackholing jest \u015bci\u015ble zwi\u0105zany z monitoringiem przep\u0142yw\u00f3w i systemami <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a>:<\/p>\n<ul>\n<li><strong>Wyzwalanie z telemetrii flow<\/strong> \u2014 systemy analizuj\u0105ce <code>NetFlow<\/code>\/<code>IPFIX<\/code>\/<code>sFlow<\/code> wychwytuj\u0105 skokowy wzrost ruchu na dany adres, wskazuj\u0105 atakowany prefiks i mog\u0105 same wstrzykn\u0105\u0107 tras\u0119 RTBH przez BGP.<\/li>\n<li><strong>Dob\u00f3r prog\u00f3w<\/strong> \u2014 zbyt czu\u0142e progi prowadz\u0105 do samookaleczenia (blackhole legalnego ruchu); znajomo\u015b\u0107 normalnego poziomu ruchu i profilowanie per host zmniejszaj\u0105 liczb\u0119 fa\u0142szywych alarm\u00f3w.<\/li>\n<li><strong>Telemetria przed dropem<\/strong> \u2014 skoro ruch trafiaj\u0105cy do <code>Null0<\/code> znika, dane potrzebne do analizy po ataku (wektor, rozk\u0142ad \u017ar\u00f3de\u0142, porty) trzeba zebra\u0107 <em>zanim<\/em> regu\u0142a zadzia\u0142a. Tu pomaga zestawienie danych o przep\u0142ywach z logami i zdarzeniami z <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a>.<\/li>\n<li><strong>Rozr\u00f3\u017cnienie celu i napastnika<\/strong> \u2014 telemetria pozwala wybra\u0107 mi\u0119dzy wariantem po adresie docelowym (szybki, ale kosztem ofiary) a wariantem po \u017ar\u00f3dle lub przej\u015bciem na FlowSpec\/scrubbing, gdy \u017ar\u00f3de\u0142 da si\u0119 policzy\u0107.<\/li>\n<\/ul>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/czym-jest-netflow-i-jak-wykorzystuje-sie-go-w-praktyce\">Czym jest NetFlow i jak ten protok\u00f3\u0142 jest wykorzystywany w praktyce?<\/a> \u2014 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a> dostarcza dane o ruchu, na podstawie kt\u00f3rych mo\u017cna wykry\u0107 atak i uruchomi\u0107 RTBH.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/scrubbing-center\">Scrubbing Center<\/a> \u2014 Scrubbing Center filtruje ruch po odci\u0119ciu przez RTBH, gdy atak wymaga czyszczenia poza sieci\u0105.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/zaawansowane-metody-ochrony-przed-atakami-ddos-w-frimach\">Zaawansowane metody ochrony przed atakami DDoS w firmach<\/a> \u2014 RTBH jest jedn\u0105 z metod ograniczania skutk\u00f3w atak\u00f3w DDoS opisanych w tym materiale.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4735","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Blackholing \/ RTBH","ikona":"","krotki_opis":"Kierowanie wybranego ruchu do interfejsu Null0, gdzie pakiety s\u0105 po cichu odrzucane; RTBH automatyzuje to przez BGP, by szybko gasi\u0107 wolumetryczne ataki DDoS."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4735","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4735"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}