{"id":4831,"date":"2026-08-11T20:59:14","date_gmt":"2026-08-11T18:59:14","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4831"},"modified":"2026-08-11T22:47:00","modified_gmt":"2026-08-11T20:47:00","slug":"scrubbing-center","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/scrubbing-center","title":{"rendered":"Scrubbing Center"},"content":{"rendered":"<p><strong>Scrubbing center<\/strong> (centrum czyszczenia ruchu) to wyspecjalizowana infrastruktura sieciowa \u2014 w\u0142asna lub w chmurze \u2014 do kt\u00f3rej podczas ataku <strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ddos-distributed-denial-of-service\">DDoS<\/a><\/strong> przekierowuje si\u0119 ruch p\u0142yn\u0105cy do chronionych zasob\u00f3w. Cel jest jeden: odfiltrowa\u0107 pakiety z\u0142o\u015bliwe i odes\u0142a\u0107 dalej wy\u0142\u0105cznie ruch uznany za prawid\u0142owy (tzw. <em>clean traffic<\/em>). Centrum stoi pomi\u0119dzy internetem a sieci\u0105 docelow\u0105 niczym bramka kontrolna na wje\u017adzie: bada ruch w warstwie sieciowej, transportowej i aplikacji, oddziela anomalie od zwyk\u0142ych sesji i odsy\u0142a oczyszczone pakiety z powrotem, zwykle tunelem GRE lub dedykowanym \u0142\u0105czem.<\/p>\n<h2>Jak dzia\u0142a scrubbing center?<\/h2>\n<p>Pe\u0142ny cykl obrony przed DDoS z u\u017cyciem centrum czyszczenia ma cztery etapy: <strong>wykrycie ataku, przekierowanie ruchu, filtrowanie i odes\u0142anie<\/strong> oczyszczonego ruchu.<\/p>\n<ol>\n<li><strong>Wykrycie (detekcja).<\/strong> Systemy monitoringu przep\u0142yw\u00f3w (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/sflow\">sFlow<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ipfix\">IPFIX<\/a>) albo inspekcja ruchu w locie zauwa\u017caj\u0105 nag\u0142y skok wolumenu, nietypowy rozk\u0142ad protoko\u0142\u00f3w lub znane sygnatury ataku i sygnalizuj\u0105 przekroczenie progu.<\/li>\n<li><strong>Przekierowanie (ang. diversion).<\/strong> Ruch kierowany do atakowanego zakresu adres\u00f3w zostaje odchylony do centrum \u2014 przez og\u0142oszenie tras <code>BGP<\/code>, zmian\u0119 rekord\u00f3w <code>DNS<\/code> albo regu\u0142\u0119 <code>BGP FlowSpec<\/code>.<\/li>\n<li><strong>Filtrowanie.<\/strong> W centrum ruch przechodzi kilka warstw kontroli: filtrowanie po wolumenie (progi i sygnatury), sprawdzenie poprawno\u015bci protoko\u0142\u00f3w, ograniczanie tempa (<em><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rate-limiting\">rate limiting<\/a><\/em>), analiz\u0119 zachowania i anomalii, reputacj\u0119 adres\u00f3w IP oraz testy typu \u201eudowodnij, \u017ce jeste\u015b cz\u0142owiekiem\u201d (challenge-response) w warstwie aplikacji. Pakiety z\u0142o\u015bliwe s\u0105 odrzucane.<\/li>\n<li><strong>Odes\u0142anie (reinjekcja).<\/strong> Oczyszczony ruch wraca do sieci docelowej osobn\u0105 drog\u0105 \u2014 najcz\u0119\u015bciej tunelem <code>GRE<\/code>, \u0142\u0105czem cross-connect, MPLS\/L2VPN albo tras\u0105 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/bgp-border-gateway-protocol\">BGP<\/a> (<em>clean pipe<\/em>) \u2014 tak, by nie wpad\u0142 z powrotem w p\u0119tl\u0119 przekierowania.<\/li>\n<\/ol>\n<p>Wszystkie zdarzenia s\u0105 zapisywane w logach \u2014 na potrzeby raport\u00f3w, analizy po ataku i zgodno\u015bci z przepisami.<\/p>\n<h2>Jak ruch trafia do scrubbing center?<\/h2>\n<p>Stosuje si\u0119 trzy podstawowe metody przekierowania, cz\u0119sto \u0142\u0105czone ze sob\u0105:<\/p>\n<ul>\n<li><strong>Przekierowanie BGP.<\/strong> Dostawca us\u0142ugi og\u0142asza zakres adres\u00f3w klienta ze swojej sieci (ASN) tras\u0105 bardziej szczeg\u00f3\u0142ow\u0105 \u2014 np. <code>\/24<\/code> zamiast operatorskiego <code>\/22<\/code>. Internet wybiera tras\u0119 bardziej dok\u0142adn\u0105, wi\u0119c ruch p\u0142ynie do centrum zamiast do data center klienta. Chroni ca\u0142e podsieci i nie zale\u017cy od protoko\u0142u aplikacji.<\/li>\n<li><strong>Przekierowanie <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a>.<\/strong> Rekord <code>A<\/code> lub <code>CNAME<\/code> us\u0142ugi wskazuje na adres centrum, wi\u0119c ruch (zwykle HTTP\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/http-https\">HTTPS<\/a> dla strony lub aplikacji) trafia do czyszczenia ju\u017c na poziomie nazwy domeny. Wymaga niskiego <code>TTL<\/code> (czasu wa\u017cno\u015bci wpisu); skuteczno\u015b\u0107 zale\u017cy od tego, czy serwery DNS rzeczywi\u015bcie respektuj\u0105 ten kr\u00f3tki TTL.<\/li>\n<li><strong>BGP <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/flowspec\">FlowSpec<\/a>.<\/strong> Centralny sterownik rozsy\u0142a do router\u00f3w brzegowych regu\u0142y dopasowane do konkretnych przep\u0142yw\u00f3w (adres \u017ar\u00f3d\u0142a i celu, protok\u00f3\u0142, porty) wraz z akcj\u0105 \u2014 odrzu\u0107, ogranicz tempo, przekieruj. Pozwala filtrowa\u0107 punktowo, zamiast odcina\u0107 ca\u0142y zakres adres\u00f3w, co ogranicza szkody uboczne.<\/li>\n<\/ul>\n<h2>Po co tunel GRE przy odsy\u0142aniu ruchu?<\/h2>\n<p>Po oczyszczeniu ruch nie mo\u017ce wr\u00f3ci\u0107 t\u0105 sam\u0105 tras\u0105 BGP, kt\u00f3r\u0105 wci\u0105gni\u0119to go do centrum \u2014 zap\u0119tli\u0142by si\u0119. Tunel <code>GRE<\/code> pakuje oczyszczone pakiety w now\u0105 \u201ekopert\u0119\u201d z zewn\u0119trznym adresem IP, zachowuj\u0105c oryginalne adresy \u017ar\u00f3d\u0142a i celu. Router brzegowy klienta zdejmuje t\u0119 kopert\u0119 i dostarcza pakiet tak, jakby nic si\u0119 nie wydarzy\u0142o. Wad\u0105 jest narzut oko\u0142o 24 bajt\u00f3w na pakiet (dla IPv4), kt\u00f3ry zmniejsza maksymalny rozmiar pakietu (<code>MTU<\/code>) na drodze powrotnej. Je\u015bli ruch <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/icmp\">ICMP<\/a> jest zablokowany albo zawiedzie mechanizm Path MTU Discovery, grozi to cich\u0105 utrat\u0105 pakiet\u00f3w. Dlatego w praktyce obni\u017ca si\u0119 MTU interfejsu GRE (np. do ~1400 bajt\u00f3w) i stosuje tzw. <em>MSS clamping<\/em>. Alternatywy bez tunelu to cross-connect, MPLS\/L2VPN oraz zwrot BGP typu <em>clean pipe<\/em>. Przy architekturze anycast filtrowanie odbywa si\u0119 na brzegu sieci, wi\u0119c odsy\u0142anie ruchu w og\u00f3le odpada.<\/p>\n<h2>Tryb always-on a on-demand<\/h2>\n<p>Centra czyszczenia uruchamia si\u0119 na dwa sposoby:<\/p>\n<ul>\n<li><strong>Always-on (stale w\u0142\u0105czony).<\/strong> Ca\u0142y ruch przez ca\u0142y czas przechodzi przez centrum, wi\u0119c obrona rusza natychmiast \u2014 nie ma okna na ustalanie nowych tras. Kosztem jest sta\u0142e, dodatkowe <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/latency-opoznienie\">op\u00f3\u017anienie<\/a> i wy\u017cszy rachunek za przepustowo\u015b\u0107.<\/li>\n<li><strong>On-demand (na \u017c\u0105danie).<\/strong> Ruch p\u0142ynie normalnie, a przekierowanie do centrum w\u0142\u0105cza si\u0119 dopiero po wykryciu ataku. W spokojnym czasie nie ma dodatkowego op\u00f3\u017anienia, ale samo uruchomienie i rozpropagowanie tras trwa zwykle od oko\u0142o 2 do 10 minut \u2014 w tym oknie cz\u0119\u015b\u0107 ataku mo\u017ce dotrze\u0107 do celu.<\/li>\n<\/ul>\n<h2>Scrubbing center a blackholing (RTBH)<\/h2>\n<p><strong>Blackholing<\/strong> w wariancie <strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/blackholing-rtbh\">RTBH<\/a><\/strong> (Remotely Triggered Black Hole, zdalnie wyzwalana czarna dziura) polega na og\u0142oszeniu trasy, kt\u00f3ra kieruje ca\u0142y ruch do atakowanego adresu w nico\u015b\u0107 (<code>null0<\/code>) \u2014 pakiety s\u0105 odrzucane hurtem. To skutecznie odci\u0105\u017ca \u0142\u0105cze, ale w praktyce realizuje cel atakuj\u0105cego: do hosta przestaje dociera\u0107 zar\u00f3wno ruch z\u0142o\u015bliwy, jak i ten prawdziwy. Scrubbing center dzia\u0142a odwrotnie \u2014 zamiast odrzuca\u0107 wszystko, rozdziela ruch i przepuszcza prawid\u0142owe sesje. RTBH bywa stosowany jako ko\u0142o ratunkowe lub uzupe\u0142nienie, gdy wolumen ataku przekracza pojemno\u015b\u0107 centrum. Pokrewny <em>source-based RTBH<\/em> odrzuca ruch po adresie \u017ar\u00f3d\u0142owym, a <code>BGP FlowSpec<\/code> daje filtrowanie dok\u0142adniejsze ni\u017c klasyczny RTBH.<\/p>\n<h2>Scrubbing dedykowany a inline<\/h2>\n<p>Okre\u015blenie \u201escrubbing inline\u201d bywa u\u017cywane w dw\u00f3ch znaczeniach. Jako tryb uruchomienia oznacza always-on \u2014 ca\u0142y ruch zawsze przez centrum. Jako lokalizacja oznacza urz\u0105dzenie wpi\u0119te wprost w \u015bcie\u017ck\u0119 ruchu w sieci klienta. Takie urz\u0105dzenie dzia\u0142a lokalnie, bez odsy\u0142ania ruchu na zewn\u0105trz, ale jest ograniczone pojemno\u015bci\u0105 \u0142\u0105cza i nie obroni przed atakiem wolumetrycznym, kt\u00f3ry zapcha \u0142\u0105cze do internetu. Wariant zewn\u0119trzny (dedykowane centrum) oddaje czyszczenie infrastrukturze o du\u017cej przepustowo\u015bci i wci\u0105ga ruch dopiero po wykryciu ataku \u2014 kosztem czasu na ustalenie tras.<\/p>\n<h2>Dlaczego scrubbing center jest wa\u017cny dla bezpiecze\u0144stwa i monitoringu?<\/h2>\n<p>Skuteczno\u015b\u0107 czyszczenia zale\u017cy od jako\u015bci <strong>wykrywania<\/strong> ataku po stronie sieci, a nie tylko od pojemno\u015bci filtr\u00f3w. Telemetria przep\u0142yw\u00f3w (NetFlow\/sFlow\/IPFIX) i znajomo\u015b\u0107 normalnego obrazu ruchu (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/baseline-baselining\">baseline<\/a>) pozwalaj\u0105 zauwa\u017cy\u0107 anomali\u0119 i przekierowa\u0107 ruch, zanim atak zapcha \u0142\u0105cze. Dlatego scrubbing wsp\u00f3\u0142pracuje z monitoringiem sieci, systemami <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a> i zespo\u0142em <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a>. Z punktu widzenia bezpiecze\u0144stwa licz\u0105 si\u0119 te\u017c:<\/p>\n<ul>\n<li><strong>ataki podszywaj\u0105ce si\u0119 pod prawdziwe po\u0142\u0105czenia<\/strong> (np. SYN\/ACK flood) \u2014 \u017ceby odr\u00f3\u017cni\u0107 je od prawdziwych sesji TCP, centrum potrzebuje sprytniejszej analizy, kt\u00f3rej proste filtrowanie na brzegu nie wykona;<\/li>\n<li><strong>ataki na warstw\u0119 aplikacji<\/strong> (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/http-flood\">HTTP flood<\/a>, powolne ataki typu slow-rate) o ma\u0142ym wolumenie, niewidoczne dla prog\u00f3w licz\u0105cych sam ruch \u2014 wychodz\u0105 na jaw dopiero w analizie zachowania i testach challenge-response;<\/li>\n<li><strong>r\u00f3\u017cne trasy \u201etam\u201d i \u201ez powrotem\u201d<\/strong> przy przekierowaniu i odsy\u0142aniu ruchu, co mo\u017ce o\u015blepia\u0107 urz\u0105dzenia \u015bledz\u0105ce stan po\u0142\u0105cze\u0144 i utrudnia\u0107 korelacj\u0119 zdarze\u0144 w SOC;<\/li>\n<li><strong>ruch szyfrowany<\/strong> \u2014 zajrzenie do tre\u015bci HTTPS wymaga rozszyfrowania <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/tls-ssl\">TLS<\/a> w centrum, czyli przeniesienia tam wra\u017cliwych kluczy i poszerzenia obszaru, kt\u00f3remu trzeba ufa\u0107;<\/li>\n<li><strong>logi i raporty<\/strong> z centrum jako \u017ar\u00f3d\u0142o danych do analizy po ataku, dostrajania prog\u00f3w i dokumentacji zgodno\u015bci.<\/li>\n<\/ul>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/zaawansowane-metody-ochrony-przed-atakami-ddos-w-frimach\">Zaawansowane metody ochrony przed atakami DDoS w firmach<\/a> \u2014 Opisuje metody ochrony przed DDoS, w tym u\u017cycie Scrubbing Center do filtrowania ruchu.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/jak-sycope-pomaga-wykrywac-i-powstrzymywac-ataki-ddos\">Jak Sycope pomaga wykrywa\u0107 i powstrzymywa\u0107 ataki DDoS<\/a> \u2014 Pokazuje, jak wykrywa\u0107 DDoS i kierowa\u0107 ruch do Scrubbing Center.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/czym-jest-netflow-i-jak-wykorzystuje-sie-go-w-praktyce\">Czym jest NetFlow i jak ten protok\u00f3\u0142 jest wykorzystywany w praktyce?<\/a> \u2014 NetFlow pomaga wykrywa\u0107 anomalie ruchu, kt\u00f3re mog\u0105 wymaga\u0107 Scrubbing Center.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4831","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Scrubbing Center","ikona":"","krotki_opis":"Wyspecjalizowana infrastruktura, do kt\u00f3rej podczas ataku DDoS przekierowuje si\u0119 ruch (BGP\/DNS), \u017ceby odfiltrowa\u0107 pakiety z\u0142o\u015bliwe i odes\u0142a\u0107 do \u017ar\u00f3d\u0142a tylko ruch prawid\u0142owy."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4831","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4831"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}