Die Entwickler der gemeinsamen Entwicklungsplattform SourceHut haben einen Bericht über den Vorfall veröffentlicht, der dazu führte, dass der Dienst während eines anhaltenden DDoS-Angriffs 7 Tage lang gestört war, auf den die Infrastruktur des Projekts nicht vorbereitet war. Die grundlegenden Dienste konnten am dritten Tag wiederhergestellt werden, jedoch blieben einige Dienste vom 10. bis 17. Januar unzugänglich. In der Anfangsphase des Angriffs konnten die Entwickler nicht rechtzeitig reagieren und versuchen, das Problem auf der Serverseite anzugehen, da der gesamte Verkehr zu den SourceHut-Servern seitens des übergeordneten Anbieters vollständig blockiert wurde.
Um den Betrieb von SourceHut zu gewährleisten, wurden Server in drei Rechenzentren eingesetzt. Im ersten lief die Produktionskonfiguration, das zweite wurde für Backups verwendet, und das dritte diente Experimenten zur Migration der Infrastruktur auf eine skalierbarere und fehlertolerante Implementierung des Dienstes (die nächste Generation von SourceHut wird entwickelt).
Die Klärung der Zugangsfrage zu unseren Servern im Haupt-Rechenzentrum dauerte etwa 9 Stunden nach der Blockade. Die Entwickler konnten jedoch nichts unternehmen, da die Attacke am Morgen intensiver wurde und das gesamte Subnetz betraf. Daraufhin leitete der Anbieter den Verkehr erneut in ein Null-Interface um. Die Entwickler mussten dringend mit der Bereitstellung der SourceHut-Infrastruktur in einem anderen Rechenzentrum aus Backups beginnen (der Zugang zu den Hauptservern über ein temporäres Subnetz konnte erst nach 2 Tagen realisiert werden).
Für den Schutz vor DDoS-Angriffen auf Netzwerkebene wurde die Platzierung eines zwischengeschalteten Servers als optimal erachtet. Server im Netzwerk des Cloud-Anbieters OVH, der DDoS-Schutz bereitstellt. Alle Anfragen wurden an diesen Server geleitet und dann in die Produktionsinfrastruktur weitergeleitet. Während der Migration konnten Fehler nicht vermieden werden, die zusätzliche Zeit in Anspruch nahmen, wie etwa ein fehlerhaftes Wiederherstellen mit dem Tool rsync, Netzwerkfehler und Probleme bei der Traffic-Umleitung (bevor der DDoS-Schutz bei OVH aktiv wurde, wurde auch der DDoS-Angriffstraffic an die Produktionsserver geleitet, woraufhin das DDoS-Schutzsystem reagierte und den anfragenden Server als Angriffsquelle erkannte).
Die Entwickler wandten sich auch an Cloudflare und einige andere DDoS-Schutzdienste, jedoch war der Preis für den Schutz unerschwinglich hoch. Später konnten die Mitarbeiter von Cloudflare sich mit dem Management einigen, um dem Projekt SourceHut kostenlos Schutz als Sponsoring anzubieten, aber die Entwickler von SourceHut lehnten das Angebot ab, da sie zu diesem Zeitpunkt bereits erhebliche Fortschritte bei der Lösung des Problems auf eigene Faust gemacht hatten.
Die Implementierung der neuen SourceHut-Infrastruktur und die Migration des Projekts auf Server in einem anderen Rechenzentrum waren ursprünglich über einen Zeitraum von mindestens einem Jahr geplant. Angesichts der aktuellen Umstände musste die Migration jedoch binnen 7 Tagen erfolgen. Derzeit sind alle SourceHut-Dienste in ein anderes Rechenzentrum migriert, und die Plattform funktioniert nun wieder vollständig.
Die Plattform SourceHut bietet eine eigenständige Benutzeroberfläche, die sich von GitHub und GitLab unterscheidet, aber gleichzeitig einfach, sehr schnell und ohne JavaScript funktioniert. SourceHut ermöglicht die Arbeit mit öffentlichen und privaten Git- sowie Mercurial-Repositories, verfügt über ein flexibles Zugriffsmanagement, ein Wiki, die Möglichkeit zur Meldung von Fehlern, eine integrierte Continuous Integration-Infrastruktur, einen Chat, E-Mail-basierte Diskussionen, eine baumartige Ansicht von Mailing-Listen-Archiven, die Überprüfung von Änderungen über das Web sowie das Hinzufügen von Anmerkungen zum Code (einschließlich Links und Dokumentationen). Bei entsprechender Konfiguration können Benutzer ohne lokale Konten (Autorisierung über OAuth oder Teilnahme per E-Mail) an der Entwicklung teilnehmen. Der Code ist in Python und Go geschrieben und steht unter der GPLv3-Lizenz.
Quelle: opennet.ru
