GitHub, 역대 최대 규모의 1.35Tbps DDoS 공격에서 생존

• GitHub는 지금까지 기록된 세계 최대 규모의 DDoS 공격에서도 살아남았습니다. 
• 이 증폭 공격은 초당 1.35테라비트, 초당 1억 2,690만 패킷에 달하는 Memcached 기반 기술을 사용했습니다. 

2018년 2월 28일, 버전 관리를 위한 가장 인기 있는 코드 공유 및 호스팅 서비스인 GitHub는 사상 최대 규모의 DDoS(분산 서비스 거부) 공격에 직면했습니다. 이로 인해 웹사이트가 약 10분 동안(17:21부터 17:30 UTC까지) 다운되었습니다.

이 공격은 2016년 9월 20일에 발생한 Mirai 봇넷 DDoS 공격의 2배가 넘는 규모였습니다. 그러나 Memcached 반사 기능으로 인해 오랫동안 가장 큰 공격으로 유지되지 않을 가능성이 큽니다.

실제로 일어난 일을 더 잘 설명하기 위해 몇 가지 기본 용어를 설명합니다.

DDoS 공격-  여러 소스에서 발생하는 엄청난 양의 무효 트래픽으로 온라인 서비스를 압도하여 온라인 서비스를 사용할 수 없게 만들려는 시도입니다. 특히 공격자는 시스템에 과부하를 걸고 적법한 요청이 이행되는 것을 방지하려고 합니다. 잘못된 요청은 여러 소스에서 발생하므로 단일 소스를 차단하는 것만으로는 공격을 막을 수 없습니다.

일반적으로 공격자는 뉴스 웹사이트, 결제 대행사 등 광범위한 중요 서비스 및 리소스를 표적으로 삼습니다. 행동주의, 협박, 복수가 이러한 공격의 동기가 될 수 있습니다.

Memcached – 일반적으로 RAM에 데이터와 개체를 캐싱하여 동적 웹 애플리케이션 속도를 높이는 데 사용되는 무료 오픈 소스 고성능 분산 메모리 개체 캐싱 시스템입니다. 이는 외부 데이터 소스를 읽어야 하는 횟수를 줄이기 위해 수행됩니다.

이는 API 호출, 데이터베이스 호출 또는 페이지 렌더링 결과에서 얻은 작은 임의 데이터(예:개체, 문자열)를 위한 메모리 내 키-값 저장소입니다.

공격은 어떻게 진행되나요?

이 공격은 UDP(사용자 데이터그램 프로토콜)에서 실행되는 공용 인터넷에서 실수로 액세스 가능한 Memcached 인스턴스를 악용합니다. memcached의 응답은 IP 주소 스푸핑을 통해 다른 주소(예:GitHub를 제공하는 데 사용되는 주소)를 대상으로 할 수 있습니다. 이는 실제 소스에 비해 엄청나게 많은 양의 데이터를 대상으로 전송합니다.

이 공격은 매우 독특했습니다(더 나빴습니다). 증폭 계수가 51,000이 넘었습니다. 즉, 공격자가 보낸 각 단일 바이트에 대해 최대 51KB가 대상을 향해 전송됩니다. 네트워크 공급자는 memcached에서 사용하는 기본 포트인 UDP 포트 11211에서 들어오는 모든 트래픽을 필터링하여 공격을 완화합니다.

사건

공격은 수만 개의 서로 다른 엔드포인트에 걸쳐 천 개가 넘는 자율 시스템에서 나타났습니다. 이번 증폭 공격은 초당 1.35테라비트, 초당 1억 2,690만 패킷에 달하는 Memcached 기반 기술을 사용했습니다.

통과 트래픽과 통과 트래픽 비율의 이상

출처:GitHub 엔지니어링

Github에서는 인바운드 전송 대역폭(최대 초당 100기가비트)의 급격한 증가를 보고했으며 추가 에지 네트워크 용량을 제공하는 CDN 제공업체인 Akamai로 트래픽을 이동했습니다. 완전히 복구된 지 4분 후, 그들은 인터넷 교환 경로를 철회하여 초당 40기가비트를 추가로 이동했습니다.

이 모든 일은 두 가지 주요 단계로 진행되었습니다. 공격의 첫 번째 부분은 초당 1.35테라비트(Tbps)로 최고조에 달했습니다. 두 번째 부분은 UTC 18:00에 진행되었으며 초당 400기가비트로 급증했습니다.

다음은 무엇인가요?

지난 몇 년 동안 GitHub는 전송 용량을 두 배 이상 늘려 이러한 종류의 공격을 견딜 수 있게 되었습니다. 그리고 그들은 다양한 교류를 통해 강력한 피어링 관계를 지속적으로 발전시키고 있습니다.

GitHub 외에도 몇몇 조직에서 유사한 공격을 경험했으며 제공업체 Akamai에 따르면 가까운 시일 내에 더 큰 공격이 있을 것이라고 합니다. 최초 공개 이후 개방형 Memcached 서버 검색이 크게 증가했습니다.

읽기:GitHub에 관한 20가지 흥미로운 사실과 통계

좋은 소식은 네트워크 배포자가 UDP 포트 11211에서 들어오는 트래픽을 제한하고 유효하지 않은 트래픽이 네트워크에 들어오고 나가는 것을 막을 수 있다는 것입니다. 하지만 대규모로 구현하려면 시간이 좀 걸릴 것입니다.