GitHub überlebt rekordverdächtigen 1,35 Tbps DDoS-Angriff – größten je gemessenen

GitHub überlebte größten je aufgezeichneten DDoS-Angriff. Amplification Attack via Memcached-Technik: 1,35 Terabit/s durch 126,9 Mio. Pakete/s.

Vorfall

28. Feb 2018: GitHub (beliebtester Code-Sharing/Hosting-Service für Versionskontrolle) Ziel größter DDoS-Attacke ever. Website ~10 Min down (17:21–17:30 UTC).

Attacke >2x Größe Mirai-Botnet-DDoS (20. Sep 2016). Wahrscheinlich nicht lange größter Angriff wegen Memcached-Reflection-Fähigkeiten.

Grundlagen

DDoS Attack: Versuch, Online-Service unzugänglich zu machen durch Überflutung mit massivem invalid Traffic aus multiplen Quellen. Angreifer überlasten Systeme, verhindern legitime Requests. Da invalid Requests aus multiplen Quellen: Blockieren einzelner Quelle stoppt Attacke nicht.

Ziele: Kritische Services/Ressourcen (News, Payment Gateways). Motive: Aktivismus, Erpressung, Rache.

Memcached: Freie, Open Source, High-Performance, verteiltes Memory Object Caching System – beschleunigt dynamische Web-Apps durch Caching Data/Objects in RAM. Verringert externe Datenquellen-Lesezugriffe.

In-Memory Key-Value Store für kleine arbiträre Daten (Objekte, Strings) aus API-Calls, DB-Calls, Page Rendering.

Angriffsmechanismus

Missbrauch inadvertent zugänglicher Memcached-Instanzen im öffentlichen Internet auf UDP. Memcached-Responses gegen andere Adresse (z. B. GitHub-Server) via IP-Spoofing gerichtet. Sendet lächerlich große Datenmengen zum Target vs. legitime Quellen.

Einzigartig (schlimm): Amplification Factor >51.000 → pro Angreifer-Byte bis 51 KB zum Target. Netzprovider mildert: Filterung aller UDP Port 11211 Traffic (Memcached Default-Port).

Vorfallverlauf

Attacke aus >1.000 autonomen Systemen über Zehntausende Endpunkte. Memcached-Amplification: 1,35 Tbps, 126,9 Mio. Pakete/s.

GitHub: Rapider Anstieg inbound Transit-Bandbreite (Peak 100 Gbps), Traffic zu Akamai (CDN) umgeleitet → zusätzliche Edge-Netzkapazität. 4 Min nach Vollwiederherstellung: Routes zu Internet Exchanges zurückgezogen → zusätzliche 40 Gbps von Edge ferngehalten.

Zwei Hauptphasen: 1. Peak 1,35 Tbps. 2. 18:00 UTC Spike 400 Gbps.

Lehren & Ausblick

GitHub hat Transitkapazität letzten Jahre >verdoppelt → Widerstandsfähigkeit gegen solche Angriffe. Kontinuierlicher Aufbau robuster Peering-Beziehungen über diverse Exchanges.

Andere Organisationen erlebten ähnliche Angriffe. Akamai: Größere Angriffe in naher Zukunft wahrscheinlich. Seit Erstmeldung: Großer Anstieg Scans offener Memcached-Server.

Gute Nachricht: Netzwerkverteiler können UDP Port 11211 Traffic limitieren, invalid Traffic blockieren. Großskalige Implementierung braucht Zeit.