GitHub sobrevive a un ataque DDoS récord de 1,35 Tbps:el más grande jamás realizado

• GitHub sobrevivió al mayor ataque DDoS jamás registrado en el mundo. 
• Este ataque de amplificación utilizó una técnica basada en Memcached que alcanzó 1,35 terabits por segundo a través de 126,9 millones de paquetes por segundo. 

El 28 de febrero de 2018, GitHub, el servicio de alojamiento y uso compartido de código más popular para el control de versiones, se enfrentó al mayor ataque DDoS (denegación de servicio distribuido) jamás registrado. Esto hizo que el sitio web cayera durante unos 10 minutos (de 17:21 a 17:30 UTC).

Este ataque fue más del doble del tamaño del ataque DDoS del botnet Mirai ocurrido el 20 de septiembre de 2016. Sin embargo, existe una gran posibilidad de que no siga siendo el mayor ataque durante un largo período debido a las capacidades de reflexión de Memcached.

Para explicar mejor lo que realmente sucedió, describimos algunos términos fundamentales.

Ataque DDoS-  Es un intento de hacer que un servicio en línea no esté disponible abrumándolo con una enorme cantidad de tráfico no válido procedente de múltiples fuentes. Específicamente, los atacantes intentan sobrecargar los sistemas e impedir que se cumplan las solicitudes legítimas. Debido a que las solicitudes no válidas provienen de múltiples fuentes, no se puede detener el ataque simplemente bloqueando una sola fuente.

Por lo general, los atacantes apuntan a una amplia gama de servicios y recursos cruciales, como sitios web de noticias y pasarelas de pago. El activismo, el chantaje y la venganza pueden motivar estos ataques.

Memcached – Es un sistema de almacenamiento en caché de objetos de memoria distribuida, gratuito, de código abierto y de alto rendimiento que generalmente se utiliza para acelerar aplicaciones web dinámicas mediante el almacenamiento en caché de datos y objetos en la RAM. Esto se hace para disminuir la cantidad de veces que se debe leer una fuente de datos externa.

Es un almacén clave-valor en memoria para pequeños fragmentos de datos arbitrarios (como objetos, cadenas) de resultados de llamadas API, llamadas a bases de datos o representación de páginas.

¿Cómo funciona el ataque?

Este ataque abusa de instancias de Memcached a las que se puede acceder inadvertidamente en la Internet pública y que se ejecutan en el protocolo de datagramas de usuario (UDP). Las respuestas de Memcached pueden dirigirse a otra dirección (como las que se utilizan para servir a GitHub) mediante la suplantación de direcciones IP. Esto envía una cantidad ridículamente grande de datos hacia el objetivo en comparación con fuentes genuinas.

Este ataque fue bastante único (peor):tenía un factor de amplificación de más de 51.000, lo que significa que por cada byte enviado por un atacante, se envían hasta 51 kilobytes hacia el objetivo. El proveedor de red mitiga el ataque filtrando todo el tráfico procedente del puerto UDP 11211, puerto predeterminado utilizado por memcached.

El incidente

El ataque surgió de más de mil sistemas autónomos en decenas de miles de puntos finales diferentes. Este ataque de amplificación utilizó una técnica basada en Memcached que alcanzó 1,35 terabits por segundo a través de 126,9 millones de paquetes por segundo.

Anomalía en la relación entre el tráfico de entrada y de salida

Fuente:Ingeniería de GitHub

Github informó de un rápido aumento en el ancho de banda de tránsito entrante (alcanzó un máximo de 100 Gigabits por segundo) y trasladó el tráfico a Akamai, un proveedor de CDN, que proporcionó una capacidad de red de borde adicional. Cuatro minutos después de la recuperación completa, retiraron las rutas a los intercambios de Internet para alejar 40 Gigabits por segundo adicionales de su borde.

Todo ocurrió en dos fases principales:la primera parte del ataque alcanzó un máximo de 1,35 terabits por segundo (Tbps). La segunda parte tuvo lugar a las 18:00 UTC y alcanzó los 400 Gigabits por segundo.

¿Qué sigue?

En los últimos años, GitHub ha aumentado su capacidad de tránsito a más del doble, lo que les ha permitido resistir este tipo de ataques. Y continuamente desarrollan sólidas relaciones entre pares en un conjunto diverso de intercambios.

Aparte de GitHub, algunas organizaciones experimentaron ataques similares y, según el proveedor Akamai, habrá más ataques mayores en el futuro cercano. Desde la divulgación inicial, han visto un gran aumento en el escaneo de servidores Memcached abiertos.

Leer:20 datos y estadísticas interesantes sobre GitHub

La buena noticia es que los distribuidores de red pueden limitar el tráfico procedente del puerto UDP 11211 y evitar que el tráfico no válido entre y salga de la red, pero implementarlo a gran escala llevará algún tiempo.