GitHub sobrevive a ataque DDoS recorde de 1,35 Tbps – o maior de todos os tempos

• O GitHub sobreviveu ao maior ataque DDoS já registrado no mundo. 
• Este ataque de amplificação usou uma técnica baseada em memcached que atingiu 1,35 Terabits por segundo através de 126,9 milhões de pacotes por segundo. 

Em 28 de fevereiro de 2018, o GitHub, o serviço de hospedagem e compartilhamento de código mais popular para controle de versão, enfrentou o maior ataque DDoS (negação de serviço distribuída) já registrado. Isso fez com que o site ficasse fora do ar por cerca de 10 minutos (das 17h21 às 17h30 UTC).

Esse ataque teve o dobro do tamanho do ataque DDoS do botnet Mirai ocorrido em 20 de setembro de 2016. No entanto, há uma grande chance de que ele não continue sendo o maior ataque por um longo período devido aos recursos de reflexão do memcached.

Para explicar melhor o que realmente aconteceu, descrevemos alguns termos fundamentais.

Ataque DDoS-  É uma tentativa de indisponibilizar um serviço online, sobrecarregando-o com uma enorme quantidade de tráfego inválido de múltiplas fontes. Especificamente, os invasores tentam sobrecarregar os sistemas e impedir que solicitações legítimas sejam atendidas. Como as solicitações inválidas vêm de diversas fontes, não é possível interromper o ataque simplesmente bloqueando uma única fonte.

Normalmente, os invasores têm como alvo uma ampla gama de serviços e recursos cruciais, como sites de notícias e gateways de pagamento. O activismo, a chantagem e a vingança podem motivar estes ataques.

Memcached – É um sistema de cache de objetos de memória distribuída gratuito, de código aberto e de alto desempenho, geralmente usado para acelerar aplicativos da Web dinâmicos, armazenando dados e objetos em cache na RAM. Isso é feito para diminuir o número de vezes que uma fonte de dados externa deve ser lida.

É um armazenamento de valores-chave na memória para pequenos pedaços de dados arbitrários (como objetos, strings) de resultados de chamadas de API, chamadas de banco de dados ou renderização de página.

Como funciona o ataque?

Esse ataque abusa de instâncias de memcached inadvertidamente acessíveis na Internet pública executadas no User Datagram Protocol (UDP). As respostas do memcached podem ser direcionadas a outro endereço (como aqueles usados ​​para servir o GitHub) por falsificação de endereço IP. Isso envia uma quantidade ridiculamente grande de dados para o alvo em comparação com fontes genuínas.

Este ataque foi único (pior) – tinha um fator de amplificação de mais de 51.000, o que significa que para cada byte enviado por um invasor, até 51 quilobytes são enviados ao alvo. O provedor de rede mitiga o ataque filtrando todo o tráfego proveniente da porta UDP 11211, porta padrão usada pelo memcached.

O Incidente

O ataque surgiu de mais de mil sistemas autônomos em dezenas de milhares de endpoints diferentes. Este ataque de amplificação usou uma técnica baseada em memcached que atingiu 1,35 Terabits por segundo através de 126,9 milhões de pacotes por segundo.

Anomalia na proporção de tráfego de entrada e saída

Fonte:GitHub Engenharia

O Github relatou um rápido aumento na largura de banda de trânsito de entrada (pico de 100 Gigabits por segundo) e transferiu o tráfego para a Akamai, um provedor de CDN, que forneceu capacidade adicional de rede de borda. Quatro minutos após a recuperação total, eles retiraram as rotas para trocas de Internet para transferir 40 Gigabits por segundo adicionais para longe de sua borda.



Tudo aconteceu em duas fases principais – a primeira parte do ataque atingiu o pico de 1,35 Terabits por segundo (Tbps). A segunda parte ocorreu às 18h UTC e atingiu 400 Gigabits por segundo.

O que vem a seguir?

Nos últimos anos, o GitHub aumentou sua capacidade de trânsito para mais que o dobro, o que lhes permitiu resistir a esses tipos de ataques. E estão continuamente a desenvolver relações robustas de peering através de um conjunto diversificado de trocas.

Além do GitHub, algumas organizações sofreram ataques semelhantes e, de acordo com o fornecedor Akamai, haverá mais ataques maiores num futuro próximo. Desde a divulgação inicial, eles observaram um grande aumento na verificação de servidores memcached abertos.

Leia:20 fatos e estatísticas interessantes sobre o GitHub

A boa notícia é que os distribuidores de rede podem limitar o tráfego proveniente da porta UDP 11211 e impedir que tráfego inválido entre e saia da rede, mas implementá-lo em grande escala levará algum tempo.