Pomagamy Zrozumieć i Wdrażać Bezpieczeństwo
Ten artykuł jest częścią serii „Bezpłatny Kurs LPI Security Essentials”, w ramach której znajdziesz wszystko, co potrzeba, aby zdać egzamin LPI Security Essentials 020-100 już za pierwszym razem.
Każdy moduł zawiera praktyczne przykłady, wyjaśnienia i materiały pomocnicze – wszystko po polsku, zrozumiale i konkretnie.
Czytaj dalej „LPI Security Essentials (Moduł 021.1) – Triada CIA W Praktyce”
Najnowsze obserwacje firm badawczych wskazują na gwałtowny wzrost mocy wolumetrycznych ataków DDoS realizowanych przez klasę botnetów „TurboMirai”. Najgłośniejszy przedstawiciel — Aisuru — ma za sobą publicznie raportowane uderzenia przekraczające 20 Tb/s oraz 4 Gpps, w większości wymierzone w ekosystem gier online. Paradoksalnie, kod Aisuru nie generuje ruchu ze sfałszowanymi źródłami (no-spoofing), co ułatwia śledzenie i sanację zainfekowanych urządzeń po stronie operatorów sieci i dostawców internetu.
Aisuru zadebiutował publicznie w 2024 r. w kontekście ataków na platformy gamingowe. W 2025 r. skala i częstotliwość rosły — od 6,3 Tb/s (incydent na KrebsOnSecurity w maju) przez przekroczenia 11 Tb/s, a następnie publiczne demonstracje mocy >22 Tb/s i ~29,6 Tb/s w październiku. Trend potwierdza szerszą narrację branżową: ostatnie lata to wysyp „hiper-wolumetrycznych” ataków oraz przejście od prostego DDoS do DDoD (Distributed Denial of Defense) — kampanii projektowanych do przeciążania samych systemów obrony.
Wektory i charakterystyki ruchu
Dlaczego brak spoofingu?
Malware działa bez przywilejów w systemach CPE, a na brzegu wielu sieci dostępnych działa SAV/BCP38, co uniemożliwia fałszowanie źródeł. Efekt uboczny: możliwy traceback → korelacja z abonentem → kwarantanna/remediacja.
Skład i funkcje botnetu
Węzły to głównie routery domowe, CCTV, DVR i pokrewne CPE. Operatorzy aktywnie poszerzają pulę infekowalnych urządzeń, a Aisuru oferuje też usługę proxy rezydencyjnych do odbijania ataków L7/HTTPS z zewnętrznych harnessów.
Dla operatorów i dużych AS-ów
Dla firm (odbiorców usług)
Dla zespołów SecOps/NetOps
Dyrektywa NIS2 (UE 2022/2555) znacząco podnosi poprzeczkę w obszarze cyberbezpieczeństwa, zastępując poprzednią dyrektywę NIS z 2016 roku. Jej zapisy poszerzają listę sektorów objętych obowiązkami z kilku do 18 sektorów krytycznych, w tym m.in. energetykę, ochronę zdrowia oraz szereg usług cyfrowych (jak telekomunikacja, usługi chmurowe, data center). W efekcie liczba podmiotów w Polsce podlegających nowym przepisom wzrosła z ~400 do ponad 10 000.
Czytaj dalej „Wdrożenie NIS2 W Sektorach – Energetyka, Zdrowie I Usługi Cyfrowe”22 października 2025 r. rosyjska państwowa służba nadzoru weterynaryjnego i fitosanitarnego (Rosselkhoznadzor) ogłosiła, że jej systemy informatyczne zostały objęte zakrojonym na szeroką skalę atakiem DDoS. Uderzenie dotknęło m.in. kluczowe platformy VetIS i Saturn, w tym komponent Mercury odpowiedzialny za elektroniczne wystawianie weterynaryjnych dokumentów towarzyszących (E-VSD), bez których legalny obrót mięsem, nabiałem, jajami i inną żywnością pochodzenia zwierzęcego jest w Rosji niemożliwy. Według doniesień branżowych skutkiem były opóźnienia i przestoje w wysyłkach produktów spożywczych.
Mercury (część VetIS) jest centralnym rejestrem śledzenia łańcucha „od pola do półki” dla produktów pochodzenia zwierzęcego. Od 2018 r. wystawianie E-VSD w Mercury jest obowiązkowe dla podmiotów obracających m.in. mięsem, rybami, jajami, miodem, mlekiem i szeroką gamą przetworów — bez tych dokumentów detaliści i przetwórcy nie mogą prawnie przyjmować towaru.
W 2025 r. system był już kilkukrotnie zakłócany: w czerwcu odnotowano przerwę skutkującą przejściem części branży na obieg papierowy i specjalne procedury awaryjne. Obecny incydent z 22 października ponownie unaocznił krytyczność Mercury jako punktu pojedynczej awarii (SPOF) dla dostaw żywności.
Z dostępnych komunikatów wynika, że:
Hipotezy techniczne (w oparciu o znane TTP dla DDoS):
Dla właścicieli systemów krytycznych (gov/branża):
Dla producentów i detalistów (odbiorców systemu):
Atak z 22 października potwierdza, że systemy certyfikacji i śledzenia pochodzenia żywności są celami o wysokiej wartości zakłóceniowej: nawet bez naruszenia danych sam brak dostępności generuje dotkliwe koszty biznesowe i ryzyka regulacyjne. Organizacje utrzymujące podobne rejestry powinny pilnie wdrażać wielowarstwową ochronę DDoS, tryby „graceful degradation” oraz uzgodnione prawnie procedury awaryjne umożliwiające kontynuację obrotu z późniejszym uzupełnieniem dokumentów.
Dyrektywa NIS2 (Network and Information Systems Directive 2) wprowadza jednolite wymogi w całej UE dotyczące cyberbezpieczeństwa, w tym obowiązek szybkiego zgłaszania poważnych incydentów bezpieczeństwa. Organizacje uznane za podmioty kluczowe lub istotne (ang. essential and important entities) muszą raportować incydenty o znaczącym wpływie na usługi zgodnie z zasadą 24h/72h.
Czytaj dalej „Raportowanie Incydentów W Zgodzie Z NIS2 – Jak Działa Zasada 24h/72h”
Dyrektywa NIS2 (Directive (EU) 2022/2555) nakłada na podmioty z sektorów krytycznych i ważnych obowiązek przyjęcia kompleksowego podejścia do zarządzania ryzykiem cyberbezpieczeństwa. Artykuł 21 tej dyrektywy wymaga wdrożenia adekwatnych i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych w celu zabezpieczenia sieci i systemów informatycznych oraz ograniczenia wpływu incydentów.
Czytaj dalej „Jak Wdrożyć Zarządzanie Ryzykiem I Nadzór Zgodnie Z Art. 21 Dyrektywy NIS2”TP-Link opublikował aktualizacje bezpieczeństwa dla bramek Omada (serie ER/G/FR), usuwające cztery podatności, w tym dwie krytyczne luki typu OS Command Injection prowadzące do zdalnego wykonania poleceń (RCE). Producent wskazuje konkretne wersje naprawcze dla 13 modeli, m.in. ER605, ER7206, ER707-M2, ER7412-M2 czy ER8411. Brak informacji o aktywnej eksploatacji, ale zalecane jest pilne patchowanie.
Urządzenia Omada to bramki dla MŚP łączące funkcje routera, zapory i bramy VPN, często zarządzane scentralizowanie przez Omada Controller. W ostatnich miesiącach bramki i routery SOHO różnych producentów są atrakcyjnym celem botnetów i operatorów kampanii z perspektywą lateral movement do sieci firmowych — tym bardziej ważne są aktualizacje „day-0” i ograniczanie ekspozycji paneli administracyjnych. Doniesienia branżowe z 21–22 października 2025 r. wskazują, że TP-Link opublikował dwa osobne biuletyny obejmujące wszystkie cztery luki.
Zakres i modele
TP-Link podaje listę modeli i minimalne wersje naprawcze, m.in.:
CVE i wektory ataku (CVSS v4.0)
Źródło i status poprawek
TP-Link opublikował dwa biuletyny bezpieczeństwa (21 października 2025 r.) z obrazami firmware, rekomendując po aktualizacji weryfikację konfiguracji (oraz zmianę hasła — w drugim biuletynie). Doniesienia prasowe (22 października) podkreślają brak informacji o exploitach „in the wild”.
W odróżnieniu od wcześniejszych incydentów w starszych routerach SOHO (często EoL), tutaj mamy aktywnie wspierane modele biznesowe z dostępnymi patchami w dniu publikacji biuletynów. Najgroźniejsza luka (CVE-2025-6542) jest pre-auth, co przypomina liczne kampanie botnetowe atakujące panele WWW bramek — jednak TP-Link jednoznacznie publikuje wersje naprawcze dla całej linii Omada i nie potwierdza exploitów w naturze na moment wydania.