GitHub、史上最大規模の1.35Tbps DDoS攻撃を生き延びる

• GitHub は、これまで記録された世界最大の DDoS 攻撃から生き残りました。 
• この増幅攻撃は、memcached ベースの技術を使用しており、毎秒 1 億 2,690 万パケットを通じて 1.35 テラビット/秒に達しました。 

2018 年 2 月 28 日、バージョン管理のための最も人気のあるコード共有およびホスティング サービスである GitHub が、これまでに記録された最大の DDoS (分散型サービス拒否) 攻撃に直面しました。これにより、ウェブサイトは約 10 分間 (17:21 から 17:30 UTC まで) ダウンしました。

この攻撃は、2016 年 9 月 20 日に発生した Mirai ボットネット DDoS 攻撃の 2 倍を超える規模でした。ただし、memcached のリフレクション機能により、この攻撃が長期間にわたって最大の攻撃であり続ける可能性は高くありません。

実際に何が起こったのかをよりわかりやすく説明するために、いくつかの基本的な用語を説明します。

DDoS 攻撃 -  これは、複数のソースからの大量の無効なトラフィックでオンライン サービスを圧倒することで、オンライン サービスを利用できなくする試みです。具体的には、攻撃者はシステムに過負荷をかけ、正当なリクエストの実行を妨げようとします。無効なリクエストは複数のソースから送信されるため、単一のソースをブロックするだけでは攻撃を阻止できません。

通常、攻撃者はニュース Web サイトや支払いゲートウェイなど、幅広い重要なサービスやリソースをターゲットにします。活動主義、脅迫、復讐がこれらの攻撃の動機となる可能性があります。

Memcached – これは、無料のオープンソースの高性能分散メモリ オブジェクト キャッシュ システムで、データとオブジェクトを RAM にキャッシュすることで動的 Web アプリケーションを高速化するために一般的に使用されます。これは、外部データ ソースを読み取る必要がある回数を減らすために行われます。

これは、API 呼び出し、データベース呼び出し、またはページ レンダリングの結果から得られる小さな任意のデータ (オブジェクト、文字列など) を格納するためのメモリ内の Key-Value ストアです。

攻撃はどのように行われるのか?

この攻撃は、ユーザー データグラム プロトコル（UDP）で実行されている公共のインターネット上で誤ってアクセス可能な memcached のインスタンスを悪用します。 memcached の応答は、IP アドレス スプーフィングによって別のアドレス (GitHub にサービスを提供するために使用されるアドレスなど) をターゲットにすることができます。これにより、本物のソースと比較して、とんでもなく大量のデータがターゲットに送信されます。

この攻撃は非常に独特 (さらに悪質) で、増幅率は 51,000 を超えていました。これは、攻撃者が送信する 1 バイトごとに、最大 51 キロバイトがターゲットに送信されることを意味します。 ネットワーク プロバイダーは、memcached が使用するデフォルト ポートである UDP ポート 11211 からのすべてのトラフィックをフィルタリングすることで攻撃を軽減します。

事件

この攻撃は、数万の異なるエンドポイントにわたる 1,000 を超える自律システムから発生しました。この増幅攻撃は、memcached ベースの技術を使用しており、毎秒 1 億 2,690 万パケットを通じて 1.35 テラビット/秒に達しました。

トランジットイントラフィックとトランジットアウトトラフィックの比率の異常

出典:GitHub エンジニアリング

Github は、受信トランジット帯域幅の急速な増加（ピーク時は 100 ギガビット/秒）を報告し、追加のエッジ ネットワーク容量を提供する CDN プロバイダーである Akamai にトラフィックを移行しました。完全復旧の 4 分後、インターネット交換局へのルートを撤回し、さらに 40 ギガビット/秒をエッジから遠ざけました。

すべては 2 つの主要なフェーズで発生しました。攻撃の最初の部分では、ピーク時に 1.35 テラビット/秒 (Tbps) に達しました。 2 番目の部分は 18:00 UTC に行われ、速度は 400 ギガビット/秒に急増しました。

次は何ですか?

ここ数年で、GitHub の転送容量は 2 倍以上に増加し、この種の攻撃に耐えられるようになりました。そして、さまざまな取引所にわたって強固なピアリング関係を継続的に構築しています。

GitHub 以外にも、いくつかの組織が同様の攻撃に遭遇しており、プロバイダーである Akamai によると、近い将来さらに大規模な攻撃が発生するだろうとのことです。最初の公開以来、オープンな memcached サーバーのスキャンが大幅に増加しました。

読む:GitHub に関する 20 の興味深い事実と統計

幸いなことに、ネットワーク ディストリビュータは UDP ポート 11211 からのトラフィックに制限を設け、無効なトラフィックがネットワークに出入りするのを阻止できますが、これを非常に大規模に実装するには時間がかかるでしょう。