GitHub survit à l'attaque DDoS record de 1,35 Tbit/s — la plus grande jamais enregistrée

GitHub a survécu à la plus grande attaque DDoS jamais enregistrée.

Attaque par amplification memcached : 1,35 Tbit/s via 126,9 millions paquets/seconde.

L'incident

28 février 2018 : GitHub (hébergement code/contrôle versions le plus populaire) subit plus grande attaque DDoS jamais enregistrée. Site down ~10 min (17:21-17:30 UTC).

Attaque >2x taille attaque Mirai botnet DDoS (20 sept 2016). Mais probable ne pas rester plus grande longtemps vu capacités réflexion memcached.

Termes fondamentaux

Attaque DDoS : tentative rendre service en ligne indisponible en le submergeant trafic invalide massif sources multiples. Attaqueurs surchargent systèmes, empêchent requêtes légitimes. Sources multiples → impossible bloquer source unique.

Cibles habituelles : services/ressources cruciaux (sites info, passerelles paiement). Motivations : activisme, chantage, vengeance.

Memcached : système cache mémoire objet distribué haute performance open source, accélère apps web dynamiques en cachant données/objets RAM. Réduit lectures source externe.

Magasin clé-valeur mémoire pour petits morceaux données arbitraires (objets, chaînes) résultats appels API, BDD, rendu page.

Fonctionnement attaque

Abuse instances memcached inadvertamment accessibles internet public sur UDP. Réponses memcached ciblées contre autre adresse (ex: serveurs GitHub) par usurpation IP. Envoie quantité ridicule data vers cible vs sources légitimes.

Facteur amplification >51 000 : chaque octet attaquant → jusqu'à 51 Ko vers cible. Fournisseur réseau atténue : filtrage tout trafic port UDP 11211 (port défaut memcached).

L'incident détaillé

Attaque depuis >1000 systèmes autonomes à travers dizaines milliers endpoints. Amplification memcached : 1,35 Tbit/s, 126,9M paquets/s.

Anomalie ratio transit entrant/sortant.

GitHub : hausse rapide bande passante entrante (pic 100 Gbit/s), basculement trafic vers Akamai (CDN), capacité edge supplémentaire. 4 min après récupération complète, retrait routes échanges internet pour dévier 40 Gbit/s supplémentaire de leur edge.

Deux phases majeures : 1re partie pic 1,35 Tbit/s. 2e partie 18:00 UTC pic 400 Gbit/s.

Prochaines étapes

Dernières années : GitHub double+ capacité transit → résiste telles attaques. Développement continu relations peering robustes échanges diversifiés.

Autres orgs attaques similaires. Selon Akamai : plus grosses attaques avenir proche. Depuis divulgation initiale : forte augmentation scan serveurs memcached ouverts.

Bonne nouvelle : distributeurs réseau peuvent limiter trafic port UDP 11211, stopper trafic invalide entrant/sortant, mais implémentation grande échelle prendra temps.