GitHub Supera Ataque DDoS Récord de 1.35 Tbps – El Más Grande Jamás Registrado

• GitHub sobrevivió al ataque DDoS más grande del mundo jamás registrado.
• Este ataque de amplificación usaba técnica basada en memcached que alcanzó 1.35 Terabits por segundo a través de 126.9 millones de paquetes por segundo.

El 28 de febrero de 2018, GitHub, el servicio más popular de compartir y alojar código para control de versiones, enfrentó el mayor ataque DDoS (denegación de servicio distribuida) jamás registrado. Esto hizo que el sitio web se cayera por unos 10 minutos (de 17:21 a 17:30 UTC).

Este ataque fue más del doble del tamaño del ataque DDoS de botnet Mirai ocurrido el 20 de septiembre de 2016. Sin embargo, hay una gran probabilidad de que no siga siendo el mayor ataque por mucho tiempo debido a las capacidades de reflexión de memcached.

Para explicar mejor lo que realmente pasó, describimos algunos términos fundamentales.

Ataque DDoS- Es un intento de hacer un servicio en línea no disponible abrumándolo con una enorme cantidad de tráfico inválido de múltiples fuentes. Específicamente, los atacantes intentan sobrecargar sistemas y prevenir que peticiones legítimas sean cumplidas. Como las peticiones inválidas vienen de múltiples fuentes, no se puede detener el ataque simplemente bloqueando una sola fuente.

Generalmente, los atacantes atacan una amplia gama de servicios y recursos cruciales, como sitios de noticias y pasarelas de pago. Activismo, chantaje y venganza pueden motivar estos ataques.

Memcached – Es un sistema de caché de objetos de memoria distribuido, de alto rendimiento, código abierto y gratuito, generalmente usado para acelerar aplicaciones web dinámicas almacenando en caché datos y objetos en RAM. Esto se hace para disminuir el número de veces que una fuente de datos externa debe leerse.

Es una tienda clave-valor en memoria para pequeños trozos de datos arbitrarios (como objetos, strings) de resultados de llamadas API, llamadas a base de datos, o renderizado de página.

¿Cómo Funciona el Ataque?

Este ataque abusa instancias de memcached inadvertidamente accesibles en el internet público ejecutándose en Protocolo de Datagramas de Usuario (UDP). Las respuestas de memcached pueden dirigirse contra otra dirección (como las usadas para servir GitHub) por suplantación de dirección IP. Esto envía cantidades ridículamente grandes de datos hacia el objetivo comparado con fuentes genuinas.

Este ataque fue bastante único (peor) – tuvo un factor de amplificación de más de 51.000, lo que significa que por cada byte enviado por un atacante, hasta 51 Kilobytes se envían hacia el objetivo. El proveedor de red mitiga el ataque filtrando todo el tráfico que viene del puerto UDP 11211, puerto por defecto usado por memcached.

El Incidente

El ataque emergió de más de mil sistemas autónomos a través de decenas de miles de endpoints diferentes. Este ataque de amplificación usaba técnica basada en memcached que alcanzó 1.35 Terabits por segundo a través de 126.9 millones de paquetes por segundo.

Anomalía en la relación de tráfico transit-in y transit-out

Fuente: GitHub Engineering

GitHub reportó un rápido aumento en ancho de banda de tránsito entrante (pico 100 Gigabits por segundo), y movieron tráfico a Akamai, un proveedor CDN, quien proporcionó capacidad adicional de red perimetral. Cuatro minutos después de la recuperación completa, retiraron las rutas a intercambios de internet para desviar 40 Gigabits por segundo adicionales de su borde.

Todo ocurrió en dos fases principales – la primera parte del ataque pico a 1.35 Terabits por segundo (Tbps). La segunda parte tuvo lugar a las 18:00 UTC y pico a 400 Gigabits por segundo.

¿Qué Sigue?

En los últimos años, GitHub ha aumentado su capacidad de tránsito a más del doble, lo que les ha permitido resistir este tipo de ataques. Y continúan desarrollando relaciones de peering robustas a través de un conjunto diverso de intercambios.

Otras organizaciones experimentaron ataques similares, y según el proveedor Akamai, habrá ataques más grandes en el futuro cercano. Desde la divulgación inicial, han visto un gran aumento en escaneo de servidores memcached abiertos.

Leer: 20 Hechos y Estadísticas Interesantes Sobre GitHub

La buena noticia es que los distribuidores de red pueden poner límite al tráfico que viene del puerto UDP 11211, y detener tráfico inválido de entrar y salir de la red, pero implementarlo a muy gran escala tomará algo de tiempo.