Sadržaj vodiča
DDoS napad (distribuirano uskraćivanje usluge) preplavljuje mrežu, poslužitelj ili aplikaciju prometom iz velikog broja zaraženih uređaja kako bi usluga postala nedostupna stvarnim korisnicima. Podaci se pritom ne kradu, ali web trgovina, internetsko bankarstvo ili portal mogu stati. Prema ENISA-i DDoS je u 2025. bio najčešća vrsta incidenta u EU-u, većinom u haktivističkim kampanjama s malim učinkom.
Za ključne i važne subjekte zaštita dostupnosti dio je obveznih mjera prema Zakonu o kibernetičkoj sigurnosti, a DDoS se prijavljuje kada ispuni kriterije značajnog incidenta. Vodič objašnjava vrste napada, zaštitu, plan odgovora i obveze prijave. Stanje je na 5. studenoga 2026.
Ukratko
- EU: DDoS je činio 51,3 % od 8.257 incidenata koje je ENISA analizirala za 2025. Od 4.709 haktivističkih prijava napada na države članice više od 89 % odnosilo se na DDoS, ponajviše proruske skupine NoName057(16).
- Svijet: ublaženo je 47,1 milijun DDoS napada, više nego dvostruko u odnosu na 2024. Najveći je imao 31,4 Tbps i trajao 35 sekundi.
- Brzina: 71 % HTTP napada i 89 % mrežnih napada u trećem tromjesečju 2025. završilo je za manje od 10 minuta. Ručna reakcija za takve napade dolazi prekasno.
- Hrvatska: Nacionalni CERT zabilježio je u 2025. devet incidenata uskraćivanja usluge. U lipnju 2024. NoName057(16) je DDoS napadima privremeno onemogućila stranice Ministarstva financija, Porezne uprave, HNB-a i Zagrebačke burze.
- Prijava: DDoS koji ispuni kriterije značajnog incidenta, primjerice 20 % korisnika bez usluge najmanje sat vremena, ključni i važni subjekti prijavljuju CSIRT-u u 24 sata.
- Kazneno djelo: ometanje rada računalnog sustava kažnjava se zatvorom do tri godine (čl. 267. Kaznenog zakona).
Što je DDoS napad
| Pojam | Značenje |
|---|---|
| DoS | Uskraćivanje usluge iz jednog izvora |
| DDoS | Uskraćivanje usluge iz tisuća ili milijuna izvora |
| Botnet | Mreža zaraženih uređaja (računala, usmjerivači, kamere, poslužitelji) kojom upravlja napadač |
| Amplifikacija | Zlouporaba otvorenih servisa koji na mali upit vraćaju velik odgovor prema žrtvi |
| Čišćenje prometa | Usluga koja filtrira zlonamjerni promet prije nego što stigne do mreže tvrtke |
| RDoS | DDoS uz ucjenu: napadač traži novac da prestane ili da ne napadne |
DDoS nalikuje situaciji u kojoj tisuće ljudi istodobno guraju kroz ista vrata. Nitko ne provaljuje, ali stvarni posjetitelji ne mogu ući. Pregled ostalih napada donosi vodič Kibernetički napadi.
Kako napad teče
- Botnet: napadač zarazi velik broj uređaja ili unajmi gotovu uslugu napada.
- Cilj: utvrđuje IP adrese, DNS zapise i aplikacijske rute žrtve.
- Napad: uređaji istodobno šalju promet ili zahtjeve.
- Prilagodba: napadač mijenja vektor kada zaštita počne djelovati.
- Svrha: politička poruka, ucjena ili dimna zavjesa za drugi upad.
Koliko su napadi veliki
Prema podacima koje navodi ENISA na temelju Cloudflareovih izvješća:
- u svibnju 2025. zabilježen je napad od 7,3 Tbps koji je u 45 sekundi isporučio 37,4 TB podataka;
- botnet Aisuru, procijenjen na 14 milijuna zaraženih uređaja, u trećem tromjesečju 2025. dosegnuo je 29,7 Tbps;
- u četvrtom tromjesečju napad od 31,4 Tbps trajao je 35 sekundi;
- krajem 2025. napadi su bili više od 700 % veći nego krajem 2024.;
- aplikacijski (L7) napadi porasli su za 128 % u odnosu na prethodnu godinu.
Napad od nekoliko desetaka Gbps dovoljan je da zasiti internetsku vezu većine tvrtki. Zato se veliki napadi zaustavljaju kod operatora ili pružatelja zaštite, a ne na vlastitom vatrozidu.
Vrste DDoS napada
| Vrsta | Što se iscrpljuje | Tipičan znak | Glavni sloj obrane |
|---|---|---|---|
| Volumetrijski (L3/L4) | Propusnost internetske veze | Nagli rast bitova ili paketa | Operator, anycast, čišćenje prometa |
| Protokolski (L3/L4) | Tablice stanja vatrozida i mrežne opreme | Mnogo nepotpunih ili neobičnih veza | Rubna mreža, filtriranje, ograničenja |
| Aplikacijski (L7) | Procesor, baza, API, prijava ili plaćanje | Naizgled valjani zahtjevi prema skupim rutama | WAF, zaštita od botova, ograničenje zahtjeva |
Volumetrijski napadi
Cilj je zasititi vezu. Česte tehnike su UDP flood i amplifikacija. CISA navodi faktore pojačanja za pojedine protokole:
| Protokol | Faktor pojačanja |
|---|---|
| DNS | 28 do 54 |
| NTP | 556,9 |
| SSDP | 30,8 |
| CharGEN | 358,8 |
CISA je 2018. upozorila i na Memcached refleksiju s neuobičajeno visokim faktorom pojačanja. Pogrešno konfigurirani poslužitelji tvrtke mogu postati dio tuđeg napada: Nacionalni CERT je u 2025. zabilježio IP adrese škola i fakulteta koje su sudjelovale u DNS amplifikacijskim napadima zbog pogrešno konfiguriranih DNS poslužitelja.
Protokolski napadi
Iscrpljuju resurse mrežne opreme: SYN flood šalje mnogo zahtjeva za uspostavu veze bez dovršetka, ACK flood opterećuje vatrozid, a stariji napadi poput Ping of Death i Smurf danas su opasni uglavnom za zastarjelu opremu.
Aplikacijski napadi
Ciljaju aplikaciju zahtjevima koji izgledaju kao stvarni promet: HTTP flood, spore veze (Slowloris, RUDY) i preplavljivanje DNS-a upitima za nepostojeće poddomene. Mali broj zahtjeva prema prijavi, pretraživanju ili plaćanju može zaustaviti uslugu i bez velikog prometa.
Napadi često kombiniraju više vektora. Prema ENISA-i više od polovice napada u drugoj polovici 2025. bilo je viševektorsko.
DDoS u Hrvatskoj
- Nacionalni CERT 2025.: devet incidenata uskraćivanja usluge od ukupno 1.513, manje nego prethodne godine. Među njima su napadi na škole koje je ublažila CARNET-ova zaštita.
- Lipanj 2024.: proruska skupina NoName057(16) preuzela je odgovornost za DDoS napade koji su privremeno onemogućili stranice Ministarstva financija, Porezne uprave, HNB-a i Zagrebačke burze.
- Srpanj 2025.: međunarodna akcija Eastwood, koju je koordinirao Europol, ugasila je nekoliko stotina poslužitelja skupine NoName057(16), a izdano je sedam uhidbenih naloga.
Mali broj prijavljenih incidenata ne znači mali rizik. Većina napada koje zaštita apsorbira nikada se ne prijavljuje.
Učinak na poslovanje
| Posljedica | Opis |
|---|---|
| Zastoj usluge | Korisnici ne mogu pristupiti trgovini, aplikaciji ili portalu |
| Gubitak prihoda | Izravno razmjeran trajanju zastoja kod web trgovine, SaaS-a ili plaćanja |
| Ugled | Gubitak povjerenja klijenata i partnera |
| Troškovi | Hitna zaštita, prekovremeni rad, forenzika, jačanje infrastrukture |
| Regulatorni rizik | Kazne za neprovođenje mjera ili propuštenu prijavu, do 10 milijuna eura ili 2 % prometa za ključne subjekte |
| Dimna zavjesa | Napadač koristi DDoS da prikrije upad ili krađu podataka |
Kazna ne slijedi iz samog napada. Nadzorno tijelo provjerava je li subjekt proveo propisane mjere i prijavio značajan incident. Detalje opisuje vodič NIS2 kazne i osobna odgovornost uprave.
Pitanja za procjenu rizika
- Koje javne usluge smiju biti nedostupne najkraće vrijeme?
- Gdje je usko grlo: veza, DNS, CDN, vatrozid, prijava, API ili baza?
- Koliko brzo pružatelj zaštite reagira i tko je smije aktivirati?
- Može li kritična usluga raditi kroz alternativni kanal?
- Mogu li se iz zapisa dokazati početak, trajanje, učinak i poduzete radnje?
Uključite i ovisnosti koje se lako previde: autoritativni DNS, pružatelja identiteta, telekomunikacijskog operatora, CDN, kontaktni centar i integracije s partnerima.
NIS2 obveze
Zakon ne spominje DDoS izričito, ali mjere iz čl. 30. i Uredbe izravno pokrivaju dostupnost: procjenu rizika (mjera 3), sigurnost mreže (mjera 6), lanac opskrbe (mjera 8), postupanje s incidentima (mjera 11) i kontinuitet poslovanja (mjera 12). Propisi su tehnološki neutralni i ne traže određeni proizvod. Subjekt treba moći pokazati da je:
- procijenio DDoS scenarije za svoje stvarne usluge;
- odabrao mjere razmjerne riziku i razini mjera iz kategorizacije;
- ugovorom uredio odnose s operatorom i pružateljem zaštite (mjera 8.3.);
- testirao postupak i pratio djelotvornost;
- ispravio utvrđene nedostatke.
Kategorizaciju opisuje vodič NIS2 kategorizacija, a odnos mjera i ISO kontrola vodič NIS2 i ISO 27001.
Kada je DDoS značajan incident
Odlučuje učinak, a ne tehnika. Prema Uredbi o kibernetičkoj sigurnosti (čl. 59. i 60.) incident je značajan, među ostalim, ako:
- najmanje 20 % korisnika nije moglo pristupiti usluzi najmanje sat vremena;
- najmanje 1 % korisnika, ali najmanje 100, nije moglo pristupiti osam sati;
- najmanje 30 % korisnika povremeno nije moglo koristiti uslugu ukupno sat vremena unutar četiri sata;
- usluga nije bila dostupna sat vremena, a broj pogođenih se ne može utvrditi;
- gubitak prihoda i troškovi dosegnu 100.000 eura ili 5 % godišnjeg prihoda, ovisno o tome što je niže.
Napad koji je zaštita apsorbirala bez učinka na korisnike sigurnosni je događaj koji se bilježi interno. Prijava je tada dobrovoljna.
Rokovi prijave
| Faza | Rok |
|---|---|
| Rano upozorenje | Najkasnije 24 sata od saznanja |
| Početna obavijest | Najkasnije 72 sata od saznanja |
| Završno izvješće | 30 dana od početne obavijesti |
Prijava se podnosi nadležnom CSIRT-u putem platforme PiXi. Nadležni CSIRT ovisi o sektoru, pa ga treba upisati u plan unaprijed. Postupak klasifikacije i prijave opisuje vodič Upravljanje kibernetičkim incidentima.
Metode zaštite
Mrežna razina
| Mjera | Što radi | Ograničenje |
|---|---|---|
| Ograničenje broja zahtjeva | Ograničava promet po izvoru | Pomaže samo kod manjih napada |
| Filtriranje (ACL) | Blokira poznate zlonamjerne raspone | Statično, lako se zaobilazi |
| Blackhole usmjeravanje | Odbacuje sav promet prema napadnutoj adresi | Blokira i stvarne korisnike |
| Anycast | Raspoređuje promet na više lokacija | Traži odgovarajuću mrežnu arhitekturu |
| BGP Flowspec | Filtriranje na usmjerivačima | Traži suradnju operatora |
Vlastiti uređaj ne može zaustaviti napad koji je već zasitio vezu. Promet treba zaustaviti što dalje od mreže tvrtke: kod operatora ili pružatelja zaštite.
Čišćenje prometa u oblaku
Za većinu tvrtki to je najučinkovitija zaštita od volumetrijskih napada. Pružatelji poput Cloudflarea, Akamaija, AWS-a (Shield) i Microsofta (Azure DDoS Protection) nude zaštitu s različitim razinama usluge. Izbor ovisi o arhitekturi, mjestu gdje usluga radi i procjeni rizika. Uvjete, rok aktivacije i razinu usluge provjerite kod pružatelja.
WAF i zaštita aplikacije
WAF prepoznaje zlonamjerne HTTP obrasce i alate za napad. Na razini aplikacije potrebna su ograničenja po korisniku, tokenu i funkciji, zaštita skupih API ruta, predmemoriranje, redovi čekanja i kontrolirano smanjenje funkcionalnosti. Prestrogo pravilo može samo izazvati prekid koji izgleda kao uspješan napad, pa ga testirajte na stvarnim vršnim opterećenjima.
Redundancija
- rezervni kapacitet veze;
- CDN za statični sadržaj;
- automatski prelazak na rezervnu infrastrukturu;
- skrivene izvorne IP adrese, kojima se ne može pristupiti mimo zaštite.
Višeslojna arhitektura
| Sloj | Komponenta | Štiti od |
|---|---|---|
| Operator | Filtriranje kod operatora, blackholing | Najveći volumetrijski napadi |
| Čišćenje u oblaku | Usluga zaštite od DDoS-a | Volumetrijski i protokolski napadi |
| Perimetar | Vatrozid nove generacije | Protokolski napadi |
| Raspodjela opterećenja | Load balancer, provjere dostupnosti | Preopterećenje pojedinih poslužitelja |
| WAF | Filtriranje HTTP prometa | Aplikacijski napadi |
| Aplikacija | Ograničenja, otkrivanje botova | Ciljani L7 napadi |
Nijedan sloj sam nije dovoljan jer napadači kombiniraju vektore.
Pet koraka uvođenja zaštite
- Odredite cilj dostupnosti: za svaku kritičnu uslugu vlasnika, najdulji prihvatljivi prekid i minimalnu funkcionalnost u kriznom načinu rada.
- Ugovorite ublažavanje prije napada: kontakte dostupne izvan radnog vremena, način potvrde hitnog zahtjeva, uvjete preusmjeravanja prometa, zaštitu DNS-a i izvornih adresa te povratak u redovno stanje.
- Odvojite mrežnu i aplikacijsku obranu: čišćenje prometa ne poznaje poslovnu logiku aplikacije.
- Pratite učinak na uslugu: dostupnost iz više lokacija, uspješne prijave i transakcije, zasićenje veze, stanje DNS-a i vrijeme aktivacije zaštite.
- Vježbajte odluke: vježba za stolom s eskalacijom, komunikacijom i odlukom o prijavi. Test opterećenja na produkciji samo uz odobrenje pružatelja.
Izložene izvorne poslužitelje i servise koji se mogu zloupotrijebiti za amplifikaciju otkriva provjera ranjivosti i penetracijski test.
Plan odgovora na DDoS napad
Priprema
- Zabilježite uobičajenu razinu prometa za svaku kritičnu uslugu.
- Uključite zaštitu: čišćenje prometa, WAF, ograničenja zahtjeva.
- Pripremite kontakte: operator, pružatelj zaštite, nadležni CSIRT, interni tim.
- Odredite tko odlučuje i tko komunicira.
- Najmanje jednom godišnje provedite vježbu, uz odobrenje pružatelja.
Prvih 60 minuta
- Potvrdite napad: razlikujte DDoS od kvara, pogrešne konfiguracije ili stvarnog porasta prometa.
- Otvorite zapis incidenta: vrijeme saznanja, pogođene usluge, vlasnik odluke.
- Aktivirajte ublažavanje: preusmjerite promet na čišćenje i zatražite filtriranje kod operatora.
- Provjerite druge sustave: DDoS može prikrivati upad.
- Uvedite privremena ograničenja u aplikaciji prema planu.
- Obavijestite upravu i korisnike jasnom porukom bez nagađanja o uzroku.
- Bilježite sve: zapise, vremena i radnje.
- Procijenite značajnost prema pragovima iz Uredbe i, ako je potrebno, pošaljite rano upozorenje u 24 sata.
Nakon napada
- Potvrdite da je preostali promet legitiman.
- Analizirajte zapise i vektore napada.
- Provjerite je li DDoS prikrivao drugi upad.
- Prilagodite pravila i ocijenite reakciju pružatelja.
- Kod značajnog incidenta pošaljite završno izvješće CSIRT-u u 30 dana od početne obavijesti.
- Donesite korektivni plan s vlasnicima i rokovima.
Dokazi koje treba čuvati
| Dokaz | Zašto je važan |
|---|---|
| Procjena rizika i popis kritičnih usluga | Povezuje mjeru s poslovnim učinkom |
| Arhitektura i ugovori s pružateljima | Pokazuje gdje se promet ublažava i tko reagira |
| Konfiguracije i rezultati testova | Dokazuje da mjera postoji u praksi |
| Vremenska crta incidenta i metrike | Podupire procjenu značajnosti i rokove prijave |
| Odluke uprave i izvješća nakon incidenta | Dokazuje nadzor i poboljšanje |
Zaštita za mala i srednja poduzeća
Mala tvrtka ne treba vlastitu opremu za DDoS zaštitu. Razuman početak:
- web stranicu i DNS postaviti iza pružatelja s uključenom DDoS zaštitom;
- skriti izvorne IP adrese poslužitelja;
- pitati operatora koju zaštitu nudi i kako se aktivira;
- uključiti osnovni WAF za web trgovinu ili aplikaciju;
- imati kratak plan: koga zvati, kako obavijestiti korisnike, kada uključiti stranicu s obavijesti.
Ključni i važni subjekti trebaju uz to dokumentiranu procjenu rizika, ugovorene rokove reakcije i uvježban plan. Jeste li obveznik, možete provjeriti alatom NIS2 provjera.
Česta pitanja
Što je DDoS napad?
Napad u kojem velik broj zaraženih uređaja istodobno šalje promet ili zahtjeve prema mreži, poslužitelju ili aplikaciji kako bi usluga postala nedostupna stvarnim korisnicima. Podaci se obično ne kradu, ali usluga stoji.
Je li DDoS napad značajan incident prema NIS2?
Može biti, ali ne automatski. Značajan je ako ispuni kriterije iz Uredbe, primjerice ako najmanje 20 % korisnika nije moglo pristupiti usluzi najmanje sat vremena ili ako gubitak dosegne 100.000 eura ili 5 % prihoda. Napad koji je zaštita apsorbirala bilježi se interno.
Moramo li prijaviti DDoS napad u 24 sata?
Da, ako ste ključni ili važni subjekt i incident je značajan. Rano upozorenje šalje se najkasnije 24 sata od saznanja, početna obavijest u 72 sata, a završno izvješće 30 dana od početne obavijesti.
Gdje se prijavljuje DDoS incident?
Kategorizirani subjekt prijavljuje ga nadležnom CSIRT-u putem platforme PiXi. Nadležni CSIRT ovisi o sektoru: NCSC-HR ili Nacionalni CERT. Napad se može prijaviti i policiji kao kazneno djelo.
Koliko traje DDoS napad?
Većina napada je kratka. U trećem tromjesečju 2025. 71 % HTTP napada i 89 % mrežnih napada trajalo je kraće od 10 minuta. Napadači koriste i pulsne napade s pauzama, koji otežavaju ručnu reakciju.
Je li WAF dovoljan?
Nije. WAF pomaže na razini aplikacije, ali ne može zaustaviti napad koji je zasitio internetsku vezu ili DNS. Potrebna je zaštita na razini operatora ili pružatelja, mreže i aplikacije.
Moramo li ugovoriti određenu uslugu zbog NIS2?
Ne. Propisi su tehnološki neutralni. Subjekt mora odabrati i dokazati mjere razmjerne riziku i razini mjera iz kategorizacije.
Je li DDoS napad kazneno djelo u Hrvatskoj?
Da. Tko onemogući ili oteža rad računalnog sustava ili komunikacije, kažnjava se zatvorom do tri godine, a kažnjiv je i pokušaj (čl. 267. Kaznenog zakona). Ako je napad pratio upad u sustav, može se raditi i o neovlaštenom pristupu (čl. 266.).
Može li DDoS sakriti drugi napad?
Da. Napadači koriste DDoS kao dimnu zavjesu za upad ili krađu podataka, a neke ransomware skupine i kao dodatni pritisak na žrtvu. Tijekom napada provjerite i druge sustave. Više u vodiču Ransomware.
Sljedeći korak
Procjenu DDoS rizika, arhitekture i ugovora s pružateljima te plan odgovora radimo u sklopu usluga kibernetičke sigurnosti. Podršku tijekom napada i pripremu prijava pružamo kroz uslugu odgovora na incidente.
Izvori i pregled
Pregledano 5. studenoga 2026. prema sljedećim izvorima:
- ENISA Threat Landscape 2026
- Cloudflare: DDoS threat report for 2025 Q4
- Nacionalni CERT: godišnji izvještaj za 2025.
- Europol: akcija Eastwood protiv NoName057(16), srpanj 2025.
- CISA: TA14-017A, UDP-based Amplification Attacks
- Zakon o kibernetičkoj sigurnosti, NN 14/2024
- Uredba o kibernetičkoj sigurnosti, NN 135/2024
- Kazneni zakon, NN 125/2011, čl. 266. i 267.
- N1: proruska skupina preuzela odgovornost za napade na hrvatske institucije
Vodič daje opće informacije. Značajnost incidenta procjenjuje se prema stvarnom učinku, sektoru i kategoriji subjekta.
Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.