Spamhaus DDoS
#while42
Sebastien Pahl
Matthieu Tourne
sebastien@cloudflare.com
matthieu@cloudflare.com
Friday, June 28, 13

Spamhaus
2
Organisation internationale de lutte antispam
• Maintient des listes d’adresse IP malveillantes
• Utilisé par beaucoup d’entreprises et logiciels
Friday, June 28, 13

Pourquoi cette attaque?
Spamhaus ajoute des IPs de clients de l’hébergeur
hollandais “Cyberbunker” au listes.
• Spamhaus demande a Cyberbunker de bloquer le spam
• Refus de coopération
• Cyberbunker accuse Spamhaus de jouer à la police du net
3
Friday, June 28, 13

Cloudflare aide Spamhaus
Pourquoi Cloudflare protège Spamhaus?
• Cloudflare se veut neutre
• Améliorer internet pour tout le monde
4
Friday, June 28, 13

Utilisation de CloudFlare
5
CloudFlare
Client
Client
Client
Origin
Friday, June 28, 13

Réseau Cloudflare
6
Friday, June 28, 13

Fonctionalitées
7
Caching
Optimisation de contenu
Sécurité
Friday, June 28, 13

Types d’attaques
Layer 3/4
SMURF
ACK
Layer 7
DNS Amplification
8
Friday, June 28, 13

DNS Amplification
9
Friday, June 28, 13

DNS Amplification
10
Friday, June 28, 13

DNS Amplification
11
Friday, June 28, 13

This is the Internet
12
Friday, June 28, 13

Breaking point - Attack #1
13
Spamhaus up, l’attaquant s’en prend à notre infrastructure.
En pratique:
• traceroute www.spamhaus.org, la dernière IP routable est notre point de
connexion avec nos fournisseurs de BP.
• 300 gbs de traffic == ouch.
Friday, June 28, 13

Breaking point - Attack #1
14
Friday, June 28, 13

Breaking point - Mitigation #1
15
Mitigation avec nos “upstreams”:
• Mitigation humaine (aka, téléphone)
• Utilisation d’addresses non-routables (rfc 1918)
• “Ingress filtering” (bcp-38)
Friday, June 28, 13

Breaking point - Attack #2
16
Friday, June 28, 13

Breaking point - Mitigation #2
17
Internet Exchange Point ?
Mitigation avec LINX (London Internet Exchange) :
• Plus difficile (subnet partagé entre beaucoup de réseaux)
• “Abandon” de LINX jusqu’à la fin de l’attaque.
Friday, June 28, 13

Leçons
• Utilisation d’IP privées pour les interconnexions
• Lutte contre les Récurseurs DNS ouverts
• Exposition publique
• Ingress filtering (bcp-38)
• ...
• 300 gbs, yeah right!
18
Friday, June 28, 13

Questions ?
Friday, June 28, 13