{"id":4821,"date":"2026-08-11T20:59:13","date_gmt":"2026-08-11T18:59:13","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4821"},"modified":"2026-08-11T22:47:00","modified_gmt":"2026-08-11T20:47:00","slug":"reflection-attack","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/reflection-attack","title":{"rendered":"Reflection Attack"},"content":{"rendered":"<p><strong>Reflection attack<\/strong> (atak z odbiciem) to spos\u00f3b ataku na sie\u0107, w kt\u00f3rym napastnik podszywa si\u0119 pod swoj\u0105 ofiar\u0119. Wysy\u0142a zapytania do zwyk\u0142ych, legalnie dzia\u0142aj\u0105cych serwer\u00f3w \u2014 tak zwanych <strong>reflektor\u00f3w<\/strong> \u2014 ale w polu \u201eadres nadawcy\u201d wpisuje adres IP ofiary zamiast w\u0142asnego. Serwer odpowiada normalnie, tyle \u017ce odpowied\u017a leci nie do napastnika, lecz prosto na adres ofiary. W ten spos\u00f3b niewinny serwer staje si\u0119 nie\u015bwiadomym narz\u0119dziem ataku. W praktyce technika ta s\u0142u\u017cy niemal wy\u0142\u0105cznie do przeci\u0105\u017cania celu ruchem, czyli do atak\u00f3w odmowy us\u0142ugi. Jej rozproszony wariant nosi nazw\u0119 <strong>DRDoS<\/strong> (Distributed Reflection <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dos-denial-of-service\">Denial of Service<\/a> \u2014 rozproszony atak odmowy us\u0142ugi z odbiciem). \u017beby atak zadzia\u0142a\u0142, musz\u0105 by\u0107 spe\u0142nione dwa warunki: napastnik musi m\u00f3c sfa\u0142szowa\u0107 adres nadawcy (tzw. <em>IP spoofing<\/em>, naj\u0142atwiejszy w protokole UDP, kt\u00f3ry nie sprawdza nadawcy) oraz musz\u0105 istnie\u0107 publiczne us\u0142ugi, kt\u00f3re odpowiadaj\u0105 ka\u017cdemu, kto je zapyta.<\/p>\n<h2>Jak dzia\u0142a reflection attack?<\/h2>\n<p>Atak przebiega w kilku krokach:<\/p>\n<ol>\n<li><strong>Wyb\u00f3r reflektor\u00f3w.<\/strong> Napastnik zbiera list\u0119 publicznych serwer\u00f3w odpowiadaj\u0105cych po UDP. Mog\u0105 to by\u0107 otwarte serwery <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a> (t\u0142umacz\u0105ce nazwy stron na adresy), serwery czasu NTP, instancje memcached, urz\u0105dzenia SSDP czy us\u0142ugi CLDAP.<\/li>\n<li><strong>Podszycie si\u0119 pod ofiar\u0119.<\/strong> Do ka\u017cdego reflektora trafia zapytanie, w kt\u00f3rym jako adres nadawcy wpisano adres ofiary. UDP nie nawi\u0105zuje po\u0142\u0105czenia z g\u00f3ry, wi\u0119c serwer nie sprawdza, kto naprawd\u0119 wys\u0142a\u0142 pakiet.<\/li>\n<li><strong>Odbicie ruchu.<\/strong> Reflektor uznaje zapytanie za prawdziwe i odsy\u0142a odpowied\u017a \u2014 na adres ofiary. Z punktu widzenia celu ruch wygl\u0105da, jakby pochodzi\u0142 od tysi\u0119cy zwyk\u0142ych serwer\u00f3w, a nie od napastnika.<\/li>\n<li><strong>Zalanie \u0142\u0105cza.<\/strong> Odpowiedzi z wielu reflektor\u00f3w naraz (zapytania rozsy\u0142a <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/botnet\">botnet<\/a>) zapychaj\u0105 \u0142\u0105cze ofiary lub jej serwery. Us\u0142uga przestaje dzia\u0142a\u0107.<\/li>\n<\/ol>\n<p>Przy okazji napastnik <strong>ukrywa swoj\u0105 to\u017csamo\u015b\u0107<\/strong>: ofiara widzi adresy reflektor\u00f3w, a prawdziwe \u017ar\u00f3d\u0142o pozostaje niewidoczne. Tym reflection attack r\u00f3\u017cni si\u0119 od zwyk\u0142ego zalewania ruchem prosto z botnetu, gdzie wida\u0107 adresy atakuj\u0105cych maszyn.<\/p>\n<h2>Czym r\u00f3\u017cni si\u0119 reflection od amplification?<\/h2>\n<p>To dwa osobne mechanizmy, cho\u0107 zwykle wyst\u0119puj\u0105 razem:<\/p>\n<ul>\n<li><strong>Reflection (odbicie)<\/strong> dotyczy <em>kierunku<\/em> ruchu. Dzi\u0119ki sfa\u0142szowanemu adresowi nadawcy odpowied\u017a serwera leci na ofiar\u0119. Samo odbicie nie zwi\u0119ksza ilo\u015bci danych.<\/li>\n<li><strong>Amplification (wzmocnienie)<\/strong> dotyczy <em>rozmiaru<\/em>. Napastnik dobiera takie zapytania, na kt\u00f3re serwer odpowiada pakietem znacznie wi\u0119kszym ni\u017c samo pytanie. Stosunek rozmiaru odpowiedzi do zapytania nazywa si\u0119 <strong>wsp\u00f3\u0142czynnikiem wzmocnienia<\/strong> (BAF, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/bandwidth\">bandwidth<\/a> amplification factor).<\/li>\n<\/ul>\n<p>W praktyce wi\u0119kszo\u015b\u0107 atak\u00f3w DRDoS \u0142\u0105czy oba na raz: napastnik wysy\u0142a ma\u0142e zapytanie z podszyciem, a reflektor odbija na ofiar\u0119 du\u017c\u0105 odpowied\u017a. Samo odbicie bez wzmocnienia jest mo\u017cliwe, ale ma\u0142o op\u0142acalne. Z kolei samo wzmocnienie bez odbicia nie ma sensu \u2014 to w\u0142a\u015bnie odbicie sprawia, \u017ce du\u017ca odpowied\u017a trafia do ofiary, a nie do napastnika.<\/p>\n<h2>Jakie protoko\u0142y wykorzystuje reflection attack?<\/h2>\n<p>Najcz\u0119\u015bciej nadu\u017cywane s\u0105 us\u0142ugi dzia\u0142aj\u0105ce po UDP, bo ten protok\u00f3\u0142 nie sprawdza, kto wys\u0142a\u0142 zapytanie. Oto typowe wektory i ich orientacyjne wzmocnienie:<\/p>\n<ul>\n<li><strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a><\/strong> (port <code>53\/UDP<\/code>) \u2014 zapytania typu <code>ANY<\/code> lub o du\u017ce rekordy do otwartych serwer\u00f3w DNS; wzmocnienie rz\u0119du kilkudziesi\u0119ciu razy.<\/li>\n<li><strong>NTP<\/strong> (port <code>123\/UDP<\/code>) \u2014 komenda <code>monlist<\/code> zwraca list\u0119 ostatnich klient\u00f3w serwera czasu; bardzo wysokie wzmocnienie, nawet kilkaset razy.<\/li>\n<li><strong>memcached<\/strong> (port <code>11211\/UDP<\/code>) \u2014 pami\u0119\u0107 podr\u0119czna wystawiona do internetu bez has\u0142a; ekstremalne wzmocnienie, w rekordowych atakach rz\u0119du dziesi\u0105tek tysi\u0119cy razy.<\/li>\n<li><strong>SSDP<\/strong> (port <code>1900\/UDP<\/code>) \u2014 urz\u0105dzenia UPnP odpowiadaj\u0105ce na zapytania o dost\u0119pne us\u0142ugi w sieci.<\/li>\n<li><strong>CLDAP<\/strong> (port <code>389\/UDP<\/code>) \u2014 odmiana protoko\u0142u katalogowego LDAP po UDP, cz\u0119sty wektor wzmocnienia.<\/li>\n<li><strong>SNMP<\/strong> (port <code>161\/UDP<\/code>), <strong>Chargen<\/strong> (<code>19\/UDP<\/code>), <strong>QOTD<\/strong> (<code>17\/UDP<\/code>) i inne starsze us\u0142ugi.<\/li>\n<\/ul>\n<p>Odbicie da si\u0119 te\u017c zrobi\u0107 po TCP (np. nadu\u017cywaj\u0105c pakiet\u00f3w <code>SYN\/ACK<\/code> serwer\u00f3w jako reflektor\u00f3w), ale UDP wci\u0105\u017c dominuje, bo podszycie si\u0119 jest w nim naj\u0142atwiejsze.<\/p>\n<h2>Reflection attack a kryptograficzny atak z odbiciem<\/h2>\n<p>Nazwa \u201ereflection attack\u201d ma jeszcze drugie, w\u0119\u017csze znaczenie \u2014 z obszaru logowania i uwierzytelniania. W <strong>kryptograficznym ataku z odbiciem<\/strong> napastnik nadu\u017cywa protoko\u0142u typu pytanie\u2013odpowied\u017a (challenge\u2013response). Gdy obie strony potwierdzaj\u0105 to\u017csamo\u015b\u0107 tym samym sekretem i t\u0105 sam\u0105 metod\u0105, atakuj\u0105cy odsy\u0142a ofierze jej w\u0142asne pytanie w drugiej, r\u00f3wnoleg\u0142ej sesji. Ofiara grzecznie liczy poprawn\u0105 odpowied\u017a, a napastnik u\u017cywa jej, \u017ceby samemu si\u0119 zalogowa\u0107. Obron\u0105 jest m.in. to, by pytania jednej i drugiej strony r\u00f3\u017cni\u0142y si\u0119 od siebie oraz by do\u0142\u0105cza\u0107 do nich identyfikatory uczestnik\u00f3w. To zupe\u0142nie inny mechanizm ni\u017c opisany wy\u017cej atak <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ddos-distributed-denial-of-service\">DDoS<\/a> \u2014 \u0142\u0105czy je tylko nazwa i og\u00f3lny pomys\u0142 \u201eodbicia\u201d. W kontek\u015bcie monitoringu sieci i atak\u00f3w zalewaj\u0105cych ruchem \u201ereflection attack\u201d oznacza wariant DRDoS.<\/p>\n<h2>Jak wykrywa\u0107 reflection attack w sieci?<\/h2>\n<p>Z punktu widzenia zespo\u0142\u00f3w bezpiecze\u0144stwa (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a>) i monitoringu sieci (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a>) atak z odbiciem zostawia charakterystyczne \u015blady w danych o przep\u0142ywach ruchu (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ipfix\">IPFIX<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/sflow\">sFlow<\/a>) oraz w samych pakietach:<\/p>\n<ul>\n<li><strong>Niepasuj\u0105ce porty.<\/strong> Du\u017cy ruch przychodz\u0105cy z <strong>portu \u017ar\u00f3d\u0142owego<\/strong> typowego dla reflektora (<code>53<\/code>, <code>123<\/code>, <code>11211<\/code>, <code>1900<\/code>, <code>389<\/code>) kierowany do jednego celu \u2014 cho\u0107 nikt z tej sieci wcze\u015bniej o nic nie pyta\u0142.<\/li>\n<li><strong>Wielu nadawc\u00f3w, jeden cel.<\/strong> Tysi\u0105ce r\u00f3\u017cnych adres\u00f3w (reflektor\u00f3w) zbiegaj\u0105cych si\u0119 na jednym adresie lub jednej puli adres\u00f3w ofiary.<\/li>\n<li><strong>Nag\u0142y skok ruchu.<\/strong> Gwa\u0142towny wzrost przepustowo\u015bci (bity na sekund\u0119) lub liczby pakiet\u00f3w, cz\u0119sto przy du\u017cym \u015brednim rozmiarze pakietu (to efekt wzmocnienia).<\/li>\n<li><strong>Odpowiedzi bez pyta\u0144.<\/strong> Odpowiedzi DNS czy NTP, do kt\u00f3rych nie by\u0142o \u017cadnych zapyta\u0144 wychodz\u0105cych \u2014 klasyczny sygna\u0142 odbitego ruchu.<\/li>\n<li><strong>Twoja sie\u0107 jako reflektor.<\/strong> R\u00f3wnie wa\u017cne jest pilnowanie ruchu <em>wychodz\u0105cego<\/em>. Je\u015bli w\u0142asny otwarty serwer DNS lub NTP odpowiada na zapytania z ca\u0142ego \u015bwiata, to znak, \u017ce kto\u015b u\u017cywa naszej infrastruktury do ataku na kogo\u015b innego.<\/li>\n<\/ul>\n<p>Zestawienie danych o przep\u0142ywach z list\u0105 znanych port\u00f3w wzmacniaj\u0105cych oraz z normalnym poziomem ruchu (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/baseline-baselining\">baseline<\/a>) pozwala odr\u00f3\u017cni\u0107 atak od zwyk\u0142ego skoku i ustali\u0107, czy organizacja jest celem, czy nie\u015bwiadomym reflektorem.<\/p>\n<h2>Jak ograniczy\u0107 ryzyko reflection attack?<\/h2>\n<p>Skuteczna obrona dzia\u0142a na dw\u00f3ch poziomach: w sieciach \u017ar\u00f3d\u0142owych (\u017ceby podszycie by\u0142o niemo\u017cliwe) i u celu (\u017ceby przetrwa\u0107 zalew):<\/p>\n<ul>\n<li><strong>Filtrowanie ruchu na wej\u015bciu (BCP38 \/ BCP84).<\/strong> Operatorzy i firmy powinni odrzuca\u0107 na brzegu sieci pakiety, kt\u00f3rych adres nadawcy nie nale\u017cy do ich w\u0142asnej puli adres\u00f3w. To usuwa podstawowy warunek ataku \u2014 mo\u017cliwo\u015b\u0107 sfa\u0142szowania adresu nadawcy.<\/li>\n<li><strong>Zamykanie i utwardzanie reflektor\u00f3w.<\/strong> Ograniczenie serwer\u00f3w DNS do zaufanych klient\u00f3w, wy\u0142\u0105czenie komendy <code>monlist<\/code> w NTP, niewystawianie memcached do internetu, blokada nieu\u017cywanych port\u00f3w UDP na brzegu.<\/li>\n<li><strong>Ograniczanie tempa odpowiedzi (RRL, Response <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rate-limiting\">Rate Limiting<\/a>)<\/strong> na serwerach DNS oraz limity zapyta\u0144 na poziomie us\u0142ugi.<\/li>\n<li><strong>Obrona u operatora lub w sieci CDN.<\/strong> Filtrowanie i \u201eczyszczenie\u201d ruchu (scrubbing) zanim dotrze on do \u0142\u0105cza ofiary. Ataku wi\u0119kszego ni\u017c w\u0142asne \u0142\u0105cze nie da si\u0119 odeprze\u0107 samodzielnie.<\/li>\n<li><strong>Monitoring i <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/baseline-baselining\">baseline<\/a>.<\/strong> Ci\u0105g\u0142a analiza danych o przep\u0142ywach z alertami na nietypowe porty \u017ar\u00f3d\u0142owe i skoki ruchu, co skraca czas wykrycia i reakcji.<\/li>\n<\/ul>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/arp-spoofing-jak-wykryc-atak-man-in-the-middle-i-zatruwanie-arp-w-sieci-lan\">ARP Spoofing \u2013 jak wykry\u0107 atak Man-in-the-Middle i zatruwanie ARP w sieci LAN<\/a> \u2014 ARP spoofing pozwala podmieni\u0107 odpowiedzi w komunikacji, co bywa u\u017cywane tak\u017ce w reflection attack.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/czym-jest-atak-ddos-i-jak-sie-przed-nim-chronic-w-2025-roku\">Czym jest atak DDoS i jak si\u0119 przed nim chroni\u0107 w 2026 roku<\/a> \u2014 Reflection attack to jedna z technik <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ddos-distributed-denial-of-service\">DDoS<\/a>, w kt\u00f3rej odpowiedzi trafiaj\u0105 do ofiary po podszyciu si\u0119 pod \u017ar\u00f3d\u0142o.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/compliance-and-regulation-with-sycope\">Compliance i regulacje z Sycope<\/a> \u2014 Reflection attack mo\u017ce narusza\u0107 wymagania ci\u0105g\u0142o\u015bci dzia\u0142ania i ochrony us\u0142ug obj\u0119tych compliance.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/podatnosc-idor-jak-wykryc-atak-na-aplikacje-webowe-przez-analize-ruchu-http\">Podatno\u015b\u0107 IDOR \u2013 jak wykry\u0107 atak na aplikacje webowe przez analiz\u0119 ruchu HTTP<\/a> \u2014 IDOR dotyczy aplikacji webowych, a reflection attack wykorzystuje inne warstwy protoko\u0142\u00f3w i ruch sieciowy.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/czym-jest-netflow-i-jak-wykorzystuje-sie-go-w-praktyce\">Czym jest NetFlow i jak ten protok\u00f3\u0142 jest wykorzystywany w praktyce?<\/a> \u2014 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a> pomaga wykry\u0107 nag\u0142y wzrost odpowiedzi charakterystyczny dla reflection attack.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/bledy-konfiguracji-sieci-jak-ich-uniknac-i-poprawic-konfiguracje-routera\">B\u0142\u0119dy konfiguracji sieci \u2013 jak unika\u0107 network configuration errors i poprawi\u0107 konfiguracj\u0119 routera<\/a> \u2014 B\u0142\u0119dy konfiguracji, np. brak filtrowania spoofingu, mog\u0105 u\u0142atwi\u0107 reflection attack.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/zaawansowane-metody-ochrony-przed-atakami-ddos-w-frimach\">Zaawansowane metody ochrony przed atakami DDoS w firmach<\/a> \u2014 Reflection attack jest jedn\u0105 z form DDoS, kt\u00f3r\u0105 opisuj\u0105 zaawansowane metody ochrony.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4821","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Reflection Attack","ikona":"","krotki_opis":"Atak sieciowy, w kt\u00f3rym napastnik wysy\u0142a do serwer\u00f3w-reflektor\u00f3w zapytania ze sfa\u0142szowanym adresem IP ofiary, by ich odpowiedzi zala\u0142y cel \u2014 podstawa atak\u00f3w DRDoS."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4821","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4821"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}