GitHub overleeft record DDoS-aanval van 1,35 Tbps – de grootste ooit

• GitHub overleefde 's werelds grootste DDoS-aanval ooit geregistreerd. 
• Deze versterkingsaanval maakte gebruik van een op memcached gebaseerde techniek die 1,35 terabit per seconde bereikte via 126,9 miljoen pakketten per seconde. 

Op 28 februari 2018 werd GitHub, de populairste dienst voor het delen en hosten van code voor versiebeheer, geconfronteerd met de grootste DDoS-aanval (distributed denial-of-service) ooit geregistreerd. Hierdoor was de website ongeveer 10 minuten offline (van 17:21 tot 17:30 UTC).

Deze aanval was ruim twee keer zo groot als de DDoS-aanval op het Mirai-botnet die plaatsvond op 20 september 2016. De kans is echter groot dat dit niet voor een lange periode de grootste aanval zal blijven vanwege de opgeslagen reflectiemogelijkheden.

Om beter uit te leggen wat er feitelijk is gebeurd, beschrijven we een paar fundamentele termen.

DDoS-aanval-  Het is een poging om een online service onbeschikbaar te maken door deze te overweldigen met een enorme hoeveelheid ongeldig verkeer uit meerdere bronnen. Aanvallers proberen met name systemen te overbelasten en te voorkomen dat aan legitieme verzoeken wordt voldaan. Omdat de ongeldige verzoeken afkomstig zijn van meerdere bronnen, kan men de aanval niet stoppen door simpelweg één enkele bron te blokkeren.

Meestal richten aanvallers zich op een breed scala aan cruciale diensten en bronnen, zoals nieuwswebsites en betalingsgateways. Activisme, chantage en wraak kunnen deze aanvallen motiveren.

Memcached – Het is een gratis, open source, krachtig, gedistribueerd cachingsysteem voor geheugenobjecten dat over het algemeen wordt gebruikt om dynamische webapplicaties te versnellen door gegevens en objecten in het RAM-geheugen op te slaan. Dit wordt gedaan om het aantal keren dat een externe gegevensbron moet worden gelezen te verminderen.

Het is een sleutel/waarde-opslag in het geheugen voor kleine stukjes willekeurige gegevens (zoals objecten, tekenreeksen) uit resultaten van API-aanroepen, database-aanroepen of paginaweergave.

Hoe de aanval werkt?

Deze aanval maakt misbruik van onbedoeld toegankelijke memcaches op het openbare internet die draaien op het User Datagram Protocol (UDP). De reacties van memcached kunnen worden gericht tegen een ander adres (zoals de adressen die worden gebruikt om GitHub te bedienen) door middel van IP-adresspoofing. Hierdoor worden belachelijk grote hoeveelheden gegevens naar het doel gestuurd in vergelijking met echte bronnen.

Deze aanval was vrij uniek (erger nog) – hij had een versterkingsfactor van meer dan 51.000, wat betekent dat voor elke afzonderlijke byte die door een aanvaller wordt verzonden, er maximaal 51 kilobyte naar het doelwit wordt gestuurd. De netwerkprovider beperkt de aanval door al het verkeer te filteren dat afkomstig is van UDP-poort 11211, de standaardpoort die door memcached wordt gebruikt.

Het incident

De aanval kwam voort uit meer dan duizend autonome systemen op tienduizenden verschillende eindpunten. Deze versterkingsaanval maakte gebruik van een op memcached gebaseerde techniek die 1,35 terabit per seconde bereikte via 126,9 miljoen pakketten per seconde.

Afwijking in de verhouding tussen het inkomende en uitgaande verkeer

Bron:GitHub Engineering

Github rapporteerde een snelle stijging van de inkomende transitbandbreedte (met een piek van 100 gigabit per seconde) en verplaatste het verkeer naar Akamai, een CDN-provider, die voor extra edge-netwerkcapaciteit zorgde. Vier minuten na het volledige herstel hebben ze de routes naar internetknooppunten ingetrokken om nog eens 40 Gigabit per seconde van hun edge te verplaatsen.

Het gebeurde allemaal in twee grote fasen:het eerste deel van de aanval bereikte een piek van 1,35 Terabits per seconde (Tbps). Het tweede deel vond plaats om 18:00 UTC en piekte naar 400 Gigabits per seconde.

Wat is het volgende?

De afgelopen jaren heeft GitHub hun transitcapaciteit ruimschoots verdubbeld, waardoor ze dit soort aanvallen kunnen weerstaan. En ze ontwikkelen voortdurend robuuste peering-relaties via een diverse reeks uitwisselingen.

Behalve GitHub hebben enkele organisaties soortgelijke aanvallen meegemaakt, en volgens provider Akamai zullen er in de nabije toekomst nog meer grotere aanvallen plaatsvinden. Sinds de eerste onthulling hebben ze een grote toename gezien in het scannen van open memcached servers.

Lees:20 interessante feiten en statistieken over GitHub

Het goede nieuws is dat netwerkdistributeurs een limiet kunnen stellen aan het verkeer dat afkomstig is van UDP-poort 11211, en kunnen voorkomen dat ongeldig verkeer het netwerk binnenkomt en verlaat, maar dat het op zeer grote schaal implementeren ervan enige tijd zal duren.