¿Qué es un ataque DDoS de Memcached?

¿Qué es un ataque DDoS de Memcached?

Un ataque DDoS de Memcached es un ataque de reflexión y amplificación. Los atacantes envían pequeñas peticiones UDP con la dirección de origen falsificada, la de la víctima, a servidores Memcached accesibles desde internet. Esos servidores responden a la víctima con datos mucho mayores. La víctima se ve inundada de tráfico que nunca pidió, mientras los emisores reales quedan ocultos tras los reflectores.

Cómo funciona

1. Memcached es una caché en memoria que las aplicaciones usan para tener a mano los datos que se leen con frecuencia. Está pensada para una red privada.
2. Algunos servidores quedaron expuestos a internet con UDP activado en el puerto 11211 y sin autenticación.
3. UDP no verifica al emisor, así que un atacante puede falsificar la dirección de origen. El servidor responde a esa dirección.
4. Una petición pequeña puede provocar una respuesta enorme, de modo que el tráfico que llega a la víctima es un múltiplo del enviado. La tabla de amplificación de ancho de banda de US-CERT sitúa a Memcached entre 10.000 y 51.000 veces, el valor más alto de su lista.

Ejemplo real

El 28 de febrero de 2018 GitHub sufrió un ataque que alcanzó 1,35 Tbps (126,9 millones de paquetes por segundo) y cuyo factor de amplificación se informó de hasta 51.000. Según su informe del incidente, el sitio estuvo totalmente inaccesible de 17:21 a 17:26 UTC e intermitente hasta las 17:30 UTC, tras lo cual desvió el tráfico a la red de borde de Akamai y filtró en su frontera. El proyecto Memcached había publicado el día anterior, el 27 de febrero de 2018, la versión 1.5.6, que desactiva UDP por defecto.

Cómo defenderse

Estos pasos son para sus propios servidores y su propia red.

• No exponer Memcached a internet. Enlazarlo a localhost o a una interfaz privada y bloquear el puerto 11211 en el cortafuegos o grupo de seguridad.
• Desactivar UDP si no se necesita (desde Memcached 1.5.6 viene desactivado).
• Usar autenticación SASL o dejar la caché accesible solo desde la capa de aplicación.
• Proveedores de red: filtrar el tráfico falsificado en el borde. El filtrado de entrada (BCP 38) impide que salgan direcciones de origen falsas, lo que elimina la condición previa de la reflexión.
• Víctimas: usar protección aguas arriba. Una inundación de 1 Tbps no la absorbe un único servidor ni un único enlace. Use un proveedor de protección DDoS o de CDN y tenga a mano el contacto de emergencia de su ISP. CISA también sugiere el blackholing activado remotamente con los proveedores aguas arriba.

La guía general está en cómo detener los ataques DDoS y protección contra DoS.

Errores frecuentes

• Suponer que una caché es "interna" y no revisar qué puertos dan a internet.
• Confiar en la configuración por defecto de versiones antiguas, que tenían UDP activo.
• Creer que el propio cortafuegos absorberá una inundación volumétrica. Cuando los paquetes llegan, el enlace ya está saturado.
• No darse cuenta de que el propio servidor es el reflector. El tráfico UDP saliente inusual de un host de caché es una señal de alerta.

Ataques relacionados

El abuso de Memcached sigue el mismo patrón que el ataque de amplificación DNS y es uno de los ataques volumétricos descritos en denegación de servicio distribuida. Las inundaciones UDP simples envían el tráfico directamente en lugar de reflejarlo.

Dónde encaja LoadFocus

LoadFocus nunca simula ataques y no reproduce la amplificación de Memcached: es tráfico UDP reflejado que solo su operador de red o su proveedor de protección DDoS pueden absorber. Las pruebas de carga de LoadFocus envían tráfico HTTP y HTTPS a sistemas que usted está autorizado a probar y muestran cuánta carga legítima soporta su aplicación. Sobre la diferencia entre prueba de carga y de estrés, vea pruebas de carga frente a pruebas de estrés.

Preguntas frecuentes: ataques DDoS de Memcached

¿Qué puerto usa un ataque DDoS de Memcached?

El puerto UDP 11211, el predeterminado de Memcached. Bloquearlo desde internet cierra la vía principal.

¿Está en riesgo mi sitio si uso Memcached?

Puede ser usado como reflector si Memcached es accesible desde internet con UDP activo. Y puede ser víctima como cualquier otro sitio. Enlazar la caché a una interfaz privada resuelve lo primero.

¿Qué tamaño pueden alcanzar estos ataques?

GitHub midió 1,35 Tbps el 28 de febrero de 2018 y el factor de amplificación se informó de hasta 51.000. Los tamaños cambian con el tiempo; cualquier cifra es una instantánea.

¿Acabó la corrección de 2018 con el problema?

La versión 1.5.6 desactivó UDP por defecto, lo que ayuda a las instalaciones nuevas. Las versiones antiguas y los servidores con UDP activado explícitamente aún pueden abusarse, por eso las reglas del cortafuegos siguen importando.

¿Puedo probar mis defensas con LoadFocus?

No. LoadFocus no genera tráfico de ataque; prueba cómo se comporta su aplicación bajo carga HTTP legítima. Las pruebas de resiliencia DDoS requieren el procedimiento de su proveedor de protección y autorización por escrito.