Ministerstwo Cyfryzacji opublikowało zaktualizowane rekomendacje dotyczące ochrony dostawców internetu przed atakami DDoS. Nowy dokument, przygotowany we współpracy z UKE oraz zespołami CSIRT, znacznie rozszerza czerwcowe wytyczne. Oprócz filtrowania ruchu i wykrywania zagrożeń szczególny nacisk położono na odporność infrastruktury, łącza zapasowe oraz możliwość utrzymania usług podczas cyberataku.
Rekomendację podpisał 23 października Krzysztof Gawkowski, wicepremier i minister cyfryzacji, pełniący funkcję pełnomocnika rządu ds. cyberbezpieczeństwa. Dokument opublikowano trzy dni później. To aktualizacja zaleceń z 29 czerwca 2026 roku, przygotowana w odpowiedzi na utrzymujące się zagrożenie atakami DDoS wymierzonymi w dostawców usług internetowych.
Zmiany są istotne. Wcześniejszy dokument obejmował osiem głównych obszarów ochrony, natomiast nowa wersja zawiera piętnaście. Rozszerzono przede wszystkim kwestie zarządzania ryzykiem, ciągłości działania oraz architektury sieci operatorskich. Ministerstwo zaleca przygotowanie i regularne testowanie planów awaryjnych. Powinny one obejmować nie tylko procedury techniczne, ale również komunikację z klientami, zespołami CSIRT i operatorami tranzytowymi.
Wskazano także potrzebę zapewnienia niezależnego łącza zapasowego, najlepiej pochodzącego od innego dostawcy i wykorzystującego odrębną adresację IP. Procedura przełączenia usług powinna umożliwiać przywrócenie łączności odbiorcom krytycznym w ciągu minut.
BGP, scrubbing i niezależne zarządzanie siecią
Nowe rekomendacje zwracają uwagę na architekturę infrastruktury. Operatorzy powinni korzystać z co najmniej dwóch niezależnych dostawców tranzytu oraz przygotować mechanizmy ograniczania niepożądanego ruchu, w tym BGP FlowSpec i RTBH. Wytyczne obejmują również wcześniejsze uzgodnienie możliwości przekierowania ruchu do zewnętrznych centrów filtrujących, czyli scrubbing centers.
Osobną kwestią jest zachowanie dostępu administracyjnego podczas ataku. Ministerstwo rekomenduje rozwiązania out-of-band, pozwalające zarządzać urządzeniami sieciowymi niezależnie od przeciążonej infrastruktury produkcyjnej, na przykład przez LTE.
Dokument wskazuje ponadto na korzyści płynące z rozdzielenia funkcji BGP, CGNAT i BRAS oraz stosowania urządzeń objętych aktualnym wsparciem producenta.
Operator ma chronić również innych użytkowników sieci
Rozszerzone zalecenia obejmują monitorowanie ruchu wychodzącego, aby wykrywać urządzenia klientów wykorzystywane przez botnety. Dostawcy internetu powinni także identyfikować otwarte usługi mogące posłużyć do wzmacniania ataków. Ważnym elementem jest kooperacja z zespołami CSIRT. Rząd rekomenduje zgłaszanie nie tylko skutecznych ataków, ale również incydentów odpartych oraz sytuacji, w których infrastruktura operatora została wykorzystana przeciwko innym podmiotom.
Dokument ma charakter rekomendacji, a nie nowego katalogu obowiązków ustawowych. Dla operatorów i integratorów sieciowych stanowi jednak konkretny punkt odniesienia przy planowaniu modernizacji infrastruktury i usług ochrony przed DDoS.
