Крупнейшей в истории DDoS-атаке подвергся GitHub
В начале марта этого года, крупнейший сервис хостинга и совместной разработки ИТ-проектов GitHub испытывал перебои в работе, которые длились около 9 минут. Причиной стала самая масштабная из известных до сего дня кибератака, использовавшая новый элегантный метод, не требующий от хакеров создания и поддержания сети ботов.
До этого момента самая крупная атака была зафиксирована в 2016 году, когда хакеры саботировали работу Американской инфраструктурной компании Dyn — 1,2 Тб/с. Но нынешний инцидент превзошёл прежнее максимальное значение - в пике трафик достиг 1,35 Тб/с.
GitHub оставался офлайн лишь около пяти минут и ещё четыре минуты длились перебои с доступом. Оперативно отразить атаку удалось с помощью сервиса противодействия DDoS, Akamai Prolexic. Входящий и исходящий трафик GitHub был перенаправлен в «центры очистки» Akamai Prolexic, где из него извлекались и блокировались вредоносные пакеты.
«Мы моделировали свои возможности закладывая пятикратный запас прочности по сравнению с крупнейшей атакой, виденной в Интернете», — сообщил вице-президент веб-безопасности в Akamai, Джон Шол, по окончанию инцидента с GitHub.
Причиной стал новый, быстро набирающий популярность метод amplification attack. Он основан на многократном увеличении трафика с помощью технологии кеширования баз данных, memcached, служащей для ускорения работы сетей и веб-сайтов. Серверы memcached, принадлежащие частным компаниям и другим организациям, отвечают на любой запрос и не рассчитаны на использование в публичном Интернете, однако в настоящее время порядка 100 тыс. таких систем, не защищённых средствами аутентификации, доступны онлайн.
Нет ничего удивительного в том, что организаторы DDoS пришли к идее использовать этот протокол для запуска атак. Как это все работает? Злоумышленник сначала внедряет больший объём данных в уязвимый сервер memcached. Затем он подделывает запрос GET, подставляя в нём на место адреса отправителя IP жертвы. Теперь один короткий запрос на этот сервер обрушивает лавину трафика на целевой веб-ресурс.
«На практике мы наблюдали, как 15-байтовый запрос вызывает отклик в 750 кБ (это усиление в 51200 раз)», — разъясняет Cloudflare в блоге, о масштабах этой угрозы.
Подобный рост атак фиксировали провайдеры Интернета на протяжении нескольких дней до диверсии против GitHub. В большинстве из них трафик не превышал 40-50 Гб/с.
«Мы видим порядка 300 индивидуальных сканеров, которые ищут memcached, то есть, уязвимыми серверами интересуются по меньшей мере 300 злоумышленников», — пишет директор CenturyLink по стратегиям защиты Дейл Дрю.
Помимо борьбы с активными атаками аварийным блокированием всего трафика memcached, инфраструктурное сообщество Сети работает с владельцами открытых серверов, убеждая поместить их за брандмауэрами. Кроме того, в дальнейшем предполагается отфильтровывать поддельные запросы, чтобы останавливать атаку ещё до её запуска.
Александр Григорьев ЦСО "Крокус"
