GitHub выжил при рекордной DDoS-атаке 1,35 Тбит/с — крупнейшей в истории

GitHub выжил при крупнейшей в истории DDoS-атаке, когда-либо зафиксированной.

Эта атака усиления использовала технику на основе memcached, достигнув 1,35 терабит в секунду через 126,9 миллионов пакетов в секунду.

Как работает атака?

Эта атака злоупотребляет случайно доступными экземплярами memcached в публичном интернете, работающими на протоколе пользовательских датаграмм (UDP). Ответы memcached могут быть направлены против другого адреса (как тех, что используются для обслуживания GitHub) путем подделки IP-адреса. Это отправляет невероятно большое количество данных к цели по сравнению с легитимными источниками.

Эта атака была довольно уникальной (хуже) — у нее был коэффициент усиления более 51 000, что означает, что на каждый байт, отправленный атакующим, до 51 килобайта отправляется к цели. Сетевой провайдер смягчает атаку, фильтруя весь трафик, идущий от UDP-порта 11211, порта по умолчанию, используемого memcached.

Инцидент

Атака возникла из более чем тысячи автономных систем через десятки тысяч разных конечных точек. Эта атака усиления использовала технику на основе memcached, достигнув 1,35 терабит в секунду через 126,9 миллионов пакетов в секунду.

GitHub сообщил о быстром росте входящей транзитной полосы пропускания (пик 100 гигабит в секунду), и они перенаправили трафик к Akamai, провайдеру CDN, который предоставил дополнительную краевую сетевую емкость. Через четыре минуты после полного восстановления они убрали маршруты к интернет-обменникам, чтобы отвести дополнительные 40 гигабит в секунду от своего края.

Все это произошло в двух основных фазах — первая часть атаки достигла пика 1,35 терабит в секунду (Тбит/с). Вторая часть произошла в 18:00 UTC и достигла пика 400 гигабит в секунду.

Что дальше?

За последние пару лет GitHub увеличил свою транзитную емкость более чем в два раза, что позволило им выдерживать такие атаки. И они постоянно развивают надежные пиринговые отношения через разнообразный набор обменников.

Помимо GitHub, несколько организаций пережили похожие атаки, и по словам провайдера Akamai, в ближайшем будущем будет еще больше атак. С момента первоначального раскрытия они видели большой рост сканирования открытых серверов memcached.

Хорошая новость в том, что сетевые дистрибьюторы могут поставить лимит на трафик, идущий от UDP-порта 11211, и остановить недействительный трафик от входа и выхода из сети, но реализация этого в очень большом масштабе займет некоторое время.