¿Te has enterado que ayer se produjo el ataque DDoS más grande de toda la historia con nada más y nada menos que 1.35Tb contra Github? ¿Y qué este ataque se ha llevado a cabo mediante la ayuda involuntaria de servidores Memcached?
Este ataque DDoS de amplificación funciona enviando una solicitud falsificada al servidor «Memcrashed» (así lo han llamado los chicos de Cloudflare) de destino en el puerto 11211 utilizando una dirección IP falsa que coincida con la IP de la víctima.
Y todo por una mala configuración en multitud de servidores de memcached, un sistema de almacenamiento en caché muy usado entre multitud de sitios web para mejorar la velocidad de conexión de la páginas web y evitar llamadas a la base de datos.
¿Sabes cómo proteger Memcached en tu servidor reduciendo la exposición de este servicio frente a la red?
Los chicos de Digital Ocean han publicado un excelente artículo donde nos muestran como proteger nuestros servidores Memcached frente a este tipo de ataques. Básicamente hay que seguir unos sencillos pasos:
- Utilizar un Firewall en tu servidor (CSF es perfecto) y bloquear el puerto 11211 frente a peticiones que vengan de fuera de tu servidor (en la mayoría de las ocasiones no hace falta que este puerto este abierto).
- Asegurar la configuración de Memcached. Ahora cuento como…
Asegurando Memcached en servidores Ubuntu y Debian
- Editamos el archivo con el comando: vi /etc/memcached.conf
- Por defecto, Ubuntu y Debian vinculan Memcached a la interfaz local 127.0.0.1. Las instalaciones vinculadas a 127.0.0.1 no son vulnerables a los ataques de amplificación de red. Solo hay que comprobar que tenemos una línea como esta: -l 127.0.0.1
- Es una buena idea desactivar UDP en Memcached añadiendo una línea como esta al final del archivo: -U 0
- Guardamos el archivos y reinciamos Memcached: service memcached restart
Protegiendo Memcached en servidores CentOS y Fedora
- Editamos el archivo: vi /etc/sysconfig/memcached
- En la línea con OPTIONS hay que añadir: -l 127.0.0.1 -U 0 quedando así: OPTIONS=»-l 127.0.0.1 -U 0″
- Reiniciamos el servicio: service memcached restart
Comprobamos en ambos casos que esta bien hecho con netstat -plunt: veremos que Memcached esta vinculado a 127.0.0.1 y solo con TCP.
¿Es importante hacer todo esto?
Si, porque parece que los ataques se vana repetir. Los atacantes han encontrado una forma sencilla de aprovechar los recursos de miles de servidores para sus propios fines. Tienes que asegurar Memcached.
- ¡Ojo! Desde la versión 1.5.6 de Memcached UDP esta desactivado por defecto.
Descubre más desde Algoentremanos
Suscríbete y recibe las últimas entradas en tu correo electrónico.
