GitHub survit à une attaque DDoS record de 1,35 Tbps – la plus importante jamais réalisée

• GitHub a survécu à la plus grande attaque DDoS jamais enregistrée au monde. 
• Cette attaque par amplification utilisait une technique basée sur Memcached qui atteignait 1,35 térabits par seconde sur 126,9 millions de paquets par seconde. 

Le 28 février 2018, GitHub, le service de partage de code et d'hébergement pour le contrôle de versions le plus populaire, a été confronté à la plus grande attaque DDoS (déni de service distribué) jamais enregistrée. Cela a entraîné une interruption du site Web pendant environ 10 minutes (de 17h21 à 17h30 UTC).

Cette attaque était plus de deux fois plus importante que l'attaque DDoS du botnet Mirai survenue le 20 septembre 2016. Cependant, il y a de fortes chances qu'elle ne reste pas l'attaque la plus importante pendant une longue période en raison des capacités de réflexion de Memcached.

Afin de mieux expliquer ce qui s'est réellement passé, nous décrivons quelques termes fondamentaux.

Attaque DDoS-  Il s’agit d’une tentative de rendre un service en ligne indisponible en le submergeant d’une énorme quantité de trafic invalide provenant de plusieurs sources. Plus précisément, les attaquants tentent de surcharger les systèmes et d’empêcher la satisfaction des demandes légitimes. Étant donné que les requêtes invalides proviennent de plusieurs sources, on ne peut pas arrêter l'attaque en bloquant simplement une seule source.

Habituellement, les attaquants ciblent un large éventail de services et de ressources cruciaux, comme les sites d’information et les passerelles de paiement. L'activisme, le chantage et la vengeance peuvent motiver ces attaques.

Memcached – Il s’agit d’un système de mise en cache d’objets à mémoire distribuée, gratuit, open source et hautes performances, généralement utilisé pour accélérer les applications Web dynamiques en mettant en cache les données et les objets dans la RAM. Ceci est fait pour diminuer le nombre de fois qu'une source de données externe doit être lue.

Il s'agit d'un magasin clé-valeur en mémoire pour de petits éléments de données arbitraires (comme des objets, des chaînes) provenant des résultats d'appels d'API, d'appels de base de données ou de rendu de page.

Comment fonctionne l'attaque ?

Cette attaque exploite les instances de Memcached accessibles par inadvertance sur l'Internet public et fonctionnant sur le protocole UDP (User Datagram Protocol). Les réponses de memcached peuvent être ciblées sur une autre adresse (comme celles utilisées pour servir GitHub) par usurpation d'adresse IP. Cela envoie une quantité ridiculement importante de données vers la cible par rapport aux sources authentiques.

Cette attaque était assez unique (pire) :elle avait un facteur d'amplification de plus de 51 000, ce qui signifie que pour chaque octet envoyé par un attaquant, jusqu'à 51 kilo-octets sont envoyés vers la cible. Le fournisseur de réseau atténue l'attaque en filtrant tout le trafic provenant du port UDP 11211, port par défaut utilisé par memcached.

L'incident

L’attaque a émergé de plus d’un millier de systèmes autonomes répartis sur des dizaines de milliers de points finaux différents. Cette attaque par amplification utilisait une technique basée sur Memcached qui atteignait 1,35 térabits par seconde sur 126,9 millions de paquets par seconde.

Anomalie dans le ratio du trafic de transit entrant et sortant

Source : Ingénierie GitHub

Github a signalé une augmentation rapide de la bande passante de transit entrante (atteignant un pic de 100 Gigabits par seconde) et a transféré le trafic vers Akamai, un fournisseur de CDN, qui a fourni une capacité réseau périphérique supplémentaire. Quatre minutes après la récupération complète, ils ont retiré les routes vers les échanges Internet pour déplacer 40 Gigabits supplémentaires par seconde de leur périphérie.

Tout s'est déroulé en deux phases principales :la première partie de l'attaque a culminé à 1,35 térabits par seconde (Tbps). La deuxième partie a eu lieu à 18h00 UTC et a atteint 400 Gigabits par seconde.

Quelle est la prochaine étape ?

Au cours des deux dernières années, GitHub a plus que doublé sa capacité de transit, ce qui lui a permis de résister à ce type d'attaques. Et ils développent continuellement des relations de peering solides à travers un ensemble diversifié d'échanges.

Outre GitHub, quelques organisations ont subi des attaques similaires et, selon le fournisseur Akamai, d'autres attaques plus importantes devraient se produire dans un avenir proche. Depuis la divulgation initiale, ils ont constaté une forte augmentation de l'analyse des serveurs Memcached ouverts.

Lire : 20 faits et statistiques intéressants sur GitHub

La bonne nouvelle est que les distributeurs de réseau peuvent limiter le trafic provenant du port UDP 11211 et empêcher le trafic non valide d'entrer et de sortir du réseau, mais sa mise en œuvre à très grande échelle prendra un certain temps.