La empresa OVH tiene una gestión de ataques DDoS, que consiste en recibir los ataques DDoS y mitigarlos. Para ello, OVH  tiene capacidad de red con internet (7.500 Gbps) y han desarrollado el VAC, que permite mitigar los DDoS.  Pero desde hace varios días, OVH está recibiendo un ataque procedente de una red en concreto, la del operador histórico español: Telefónica (Movistar). Este ataque está dirigido a un cliente en particular que está alojado en el entro de datos de OVH situado en BHS (Canadá). Y el enlace entre OVH y Teléfonica está saturado.

Anteriormente OVH ya ha recibido y mitigado con éxito ataques DDoS de 800 Gbps

Octave Klaba / Oles, el presidente de OVH ha manifestado en Twitter:

Telefónica permite a los piratas informáticos que utilizan su red para enviar grandes DDoS a Internet. Aquí 150Gbps de AS335

 


No se trata de un ataque DDoS (Distributed Denial of Service), sino DoS (Denial of Service), ya que no es distribuido: el ataque no procede de varios lugares del mundo, sino de uno concreto, por lo que utiliza una ruta específica: AS3352 Telefónica de España <> AS12956 Telefonica International <> AS16276 OVH.

Los enlaces de conexión OVH con AS12956 son los siguientes:

    •    30G + 20G en Madrid
    •    40G en París
    •    20G en Ashburn, VA
    •    20G en Miami, FL

Es decir, un total de 130 Gbps con AS12956. Sin embargo, el DoS que recibe OVH es de 150 Gbps.
Normalmente pueden recibir sin problema 150 Gbps, si se trata de un DDoS que procede de Asia, Europa y EE.UU. al mismo tiempo. Cada parte de la red recibe una parte del DDoS y cada VAC mitiga una parte del DDoS.

En este caso, los hackers utilizan específicamente la red de Telefónica de España para enviar un ataque de gran envergadura. El tipo del DoS es muy básico, de modo que podríamos mitigarlo sin problemas, pero, en este caso concreto, no podemos, ya que no llegamos a recibirlo: los enlaces que tenemos con Telefonica International se saturan antes.

Lo que primero hicieron fueron cortar los anuncios BGP con AS12956 para utilizar otros enlaces que tenemos con internet y hacer llegar el tráfico por AS5511 OpenTransit <> AS3352 Telefónica de España <> AS12956 Telefonica International <> AS5511 OpenTransit <> AS16276 OVH.

¿Cómo funciona internet por dentro?

¿Qué es BGP, AS?

Leélo aquí:

• Peering, BGP, y Sistemas Autónomos, AS Number

OVH tiene 1x 100G con OpenTransit (OTI) en Frankfurt. El ataque saturó el enlace que tienen con OTI, causando que se vieran afectados otros ISP de España, ya que utilizamos OTI para recibir el tráfico desde Orange España, Jazztel, etc. Entonces cortamos los anuncios BGP con AS5511.

El tráfico  llega ahora por Level3 AS3356 <> AS3352 Telefónica de España <> AS12956 Telefonica International <> AS3356 Level3 <> AS16276 OVH.

Con Level3 OVH tiene 800 Gbps de capacidad y varios enlaces de 200 Gbps, de modo que ya podemos recibir este DoS de 150 Gbps. El problema es que entre AS12956 y AS3356 no hay suficiente capacidad para permitir el paso del DoS sin saturar los enlaces entre los operadores.

OVH sigue trabajando para solucionar el problema. OVH está en contacto con AS12956, que ha solicitado a AS3352 que apague la red de botnets que origina el DoS. También modificamos nuestras respectivas configuraciones para permitir que el DoS pase entre AS12956 y AS16276.

OVH no puede ofrecer más detalles, ya que esta intervención será leída por los hackers que han realizado el DoS y utilizarán esta información para saltarse las medidas que implementemos. Esta es también la razón por la que no hemos creado hasta ahora la tarea en Travaux. En los casos de (D)DoS, cuantos menos datos demos, menos incentivamos a los hackers y mejor gestionamos los ataques, pero, teniendo en cuenta cómo está afectando a nuestros clientes españoles, debíamos informaros sobre el origen del problema.

OVH ha encontrado la forma de permitir el paso del DoS sin saturar los enlaces. En las próximas horas veremos si aguanta. En cualquier caso, están manteniendo conversaciones con Telefonica International para aumentar las capacidades con su red. OVH también va a instalar un nuevo router en Madrid antes de lo que estaba previsto (octubre en lugar de marzo). Esto permitirá conectar en octubre en 200G con Telefónica, mejorar Espanix en 2x 200G, OpenTransit en 200G y tener estas mismas mejoras con Telia y Cogent.

Paralelamente, vamos a añadir más enlaces con Telefónica, especialmente en París de 200G y Ashburn, VA, de 200G.

Los hackers han conseguido encontrar una debilidad en la red de OVH. Pero lo van a subsanar lo antes posible.

• http://gsw.smokeping.ovh.net/smokeping?&target=EU.AS3352

Cordialmente,
 Octave

Fuentes:
http://travaux.ovh.net/?do=details&id=20149