GitHub overleeft record 1,35 Tbps DDoS-aanval – De grootste ooit

GitHub overleefde de grootste DDoS-aanval (distributed denial-of-service) ooit geregistreerd. Deze amplificatie-aanval gebruikte memcached-gebaseerde techniek die 1,35 Terabit per seconde bereikte door 126,9 miljoen pakketten per seconde.

Hoe de aanval werkt

Deze aanval misbruikt instanties van onbedoeld toegankelijke memcached op het publieke internet draaiend op User Datagram Protocol (UDP). De reacties van memcached kunnen gericht worden tegen een ander adres (zoals die gebruikt om GitHub te serveren) door IP-adres spoofing. Dit stuurt ongelooflijk grote hoeveelheden data naar het doel vergeleken met legitieme bronnen.

Deze aanval was tamelijk uniek (erger) – het had een amplificatiefactor van meer dan 51.000, wat betekent dat voor elke enkele byte die door een aanvaller verzonden wordt, tot 51 Kilobyte naar het doel gestuurd wordt. De netwerkprovider mitigeert de aanval door al verkeer van UDP-poort 11211 te filteren, de standaardpoort die door memcached gebruikt wordt.

Het incident

De aanval ontstond uit meer dan duizend autonoom systemen over tienduizenden verschillende endpoints. Deze amplificatie-aanval gebruikte memcached-gebaseerde techniek die 1,35 Terabit per seconde bereikte door 126,9 miljoen pakketten per seconde.

GitHub rapporteerde een snelle stijging in inkomende transit-bandbreedte (piek 100 Gigabit per seconde), en ze verplaatsten verkeer naar Akamai, een CDN-provider, die extra edge-netwerkcapaciteit leverde. Vier minuten na de volledige herstel, trokken ze de routes naar internet-uitwisselingen in om een extra 40 Gigabit per seconde van hun edge af te leiden.

Het gebeurde allemaal in twee grote fasen – het eerste deel van de aanval piekte tot 1,35 Terabit per seconde (Tbps). Het tweede deel vond plaats om 18:00 UTC en piekte tot 400 Gigabit per seconde.

Wat is de volgende stap?

In de afgelopen paar jaar heeft GitHub hun transit-capaciteit meer dan verdubbeld, wat hen in staat stelde om dit soort aanvallen te weerstaan. En ze ontwikkelen continu robuuste peering-relaties over een diverse set van uitwisselingen.

Naast GitHub hebben een paar organisaties soortgelijke aanvallen ervaren, en volgens provider Akamai zullen er in de nabije toekomst grotere aanvallen zijn. Sinds de initiële openbaarmaking hebben ze een grote toename gezien in het scannen van open memcached-servers.

Het goede nieuws is dat netwerkdistributeurs een limiet kunnen stellen op verkeer dat van UDP-poort 11211 komt, en ongeldig verkeer kunnen stoppen van binnenkomen en verlaten van het netwerk, maar het implementeren ervan op zeer grote schaal zal enige tijd kosten.