GitHub überlebt Rekord-DDoS-Angriff mit 1,35 Tbit/s – den größten aller Zeiten

• GitHub hat den weltweit größten jemals aufgezeichneten DDoS-Angriff überstanden. 
• Dieser Verstärkungsangriff nutzte eine Memcached-basierte Technik, die 1,35 Terabit pro Sekunde durch 126,9 Millionen Pakete pro Sekunde erreichte. 

Am 28. Februar 2018 wurde GitHub, der beliebteste Code-Sharing- und Hosting-Dienst für die Versionskontrolle, mit dem größten jemals aufgezeichneten DDoS-Angriff (Distributed Denial-of-Service) konfrontiert. Dies führte dazu, dass die Website für etwa 10 Minuten (von 17:21 bis 17:30 UTC) nicht verfügbar war.

Dieser Angriff war mehr als doppelt so groß wie der DDoS-Angriff des Mirai-Botnetzes vom 20. September 2016. Es besteht jedoch eine große Chance, dass er aufgrund der Memcached-Reflection-Fähigkeiten nicht für lange Zeit der größte Angriff bleiben wird.

Um besser zu erklären, was tatsächlich passiert ist, beschreiben wir einige grundlegende Begriffe.

DDoS-Angriff-  Dabei handelt es sich um den Versuch, einen Onlinedienst nicht mehr verfügbar zu machen, indem man ihn mit einer großen Menge an ungültigem Datenverkehr aus mehreren Quellen überlastet. Konkret versuchen Angreifer, Systeme zu überlasten und die Erfüllung berechtigter Anfragen zu verhindern. Da die ungültigen Anfragen aus mehreren Quellen stammen, kann man den Angriff nicht einfach dadurch stoppen, dass man eine einzelne Quelle blockiert.

Normalerweise zielen Angreifer auf eine Vielzahl wichtiger Dienste und Ressourcen ab, beispielsweise auf Nachrichten-Websites und Zahlungsgateways. Aktivismus, Erpressung und Rache können die Motivation für diese Angriffe sein.

Memcached – Es handelt sich um ein kostenloses Open-Source-Objekt-Caching-System mit hoher Leistung und verteiltem Speicher, das im Allgemeinen zur Beschleunigung dynamischer Webanwendungen durch Zwischenspeichern von Daten und Objekten im RAM verwendet wird. Dies dient dazu, die Häufigkeit zu verringern, mit der eine externe Datenquelle gelesen werden muss.

Es handelt sich um einen speicherinternen Schlüsselwertspeicher für kleine Teile beliebiger Daten (wie Objekte, Zeichenfolgen) aus Ergebnissen von API-Aufrufen, Datenbankaufrufen oder Seitenrendering.

Wie funktioniert der Angriff?

Dieser Angriff missbraucht Instanzen von unbeabsichtigt zugänglichen Memcaches im öffentlichen Internet, die auf dem User Datagram Protocol (UDP) laufen. Die Antworten von Memcached können durch IP-Adress-Spoofing gegen eine andere Adresse gerichtet werden (z. B. solche, die für die Bereitstellung von GitHub verwendet werden). Dadurch werden im Vergleich zu echten Quellen lächerlich große Datenmengen an das Ziel gesendet.

Dieser Angriff war ziemlich einzigartig (noch schlimmer) – er hatte einen Verstärkungsfaktor von mehr als 51.000, was bedeutet, dass für jedes einzelne von einem Angreifer gesendete Byte bis zu 51 Kilobyte an das Ziel gesendet werden. Der Netzwerkanbieter wehrt den Angriff ab, indem er den gesamten Datenverkehr vom UDP-Port 11211, dem von memcached verwendeten Standardport, filtert.

Der Vorfall

Der Angriff ging von mehr als tausend autonomen Systemen über Zehntausende verschiedene Endpunkte aus. Dieser Verstärkungsangriff nutzte eine Memcached-basierte Technik, die bis zu 1,35 Terabit pro Sekunde durch 126,9 Millionen Pakete pro Sekunde erreichte.

Anomalie im Verhältnis von Transit-In- und Transit-Out-Verkehr

Quelle:GitHub Engineering

Github meldete einen schnellen Anstieg der eingehenden Transitbandbreite (Spitzenwert 100 Gigabit pro Sekunde) und verlagerte den Datenverkehr zu Akamai, einem CDN-Anbieter, der zusätzliche Edge-Netzwerkkapazität bereitstellte. Vier Minuten nach der vollständigen Wiederherstellung zogen sie die Routen zu Internetknoten zurück, um weitere 40 Gigabit pro Sekunde von ihrem Rand zu verlagern.

Alles geschah in zwei Hauptphasen – der erste Teil des Angriffs erreichte einen Spitzenwert von 1,35 Terabit pro Sekunde (Tbps). Der zweite Teil fand um 18:00 UTC statt und erreichte einen Spitzenwert von 400 Gigabit pro Sekunde.

Was kommt als nächstes?

In den letzten Jahren hat GitHub seine Übertragungskapazität auf mehr als das Doppelte erhöht, was es ihnen ermöglicht, dieser Art von Angriffen standzuhalten. Und sie entwickeln kontinuierlich stabile Peering-Beziehungen über eine Vielzahl von Börsen hinweg.

Außer GitHub gab es auch einige Organisationen, die ähnliche Angriffe erlebten, und laut dem Anbieter Akamai wird es in naher Zukunft weitere größere Angriffe geben. Seit der ersten Offenlegung ist ein starker Anstieg beim Scannen offener Memcached-Server zu verzeichnen.

Lesen Sie:20 interessante Fakten und Statistiken über GitHub

Die gute Nachricht ist, dass Netzwerkverteiler den Datenverkehr vom UDP-Port 11211 begrenzen und verhindern können, dass ungültiger Datenverkehr in das Netzwerk ein- und austritt. Die Umsetzung in großem Umfang wird jedoch einige Zeit in Anspruch nehmen.