Los desarrolladores de la plataforma de desarrollo colaborativo SourceHut publicaron un informe sobre un incidente que interrumpió el funcionamiento del servicio durante 7 días debido a un ataque DDoS prolongado para el cual la infraestructura del proyecto no estaba preparada. Los servicios básicos pudieron ser restablecidos en el tercer día, pero algunos servicios estuvieron fuera de línea del 10 al 17 de enero. En la fase inicial del ataque, los desarrolladores no pudieron reaccionar a tiempo para contrarrestar el problema en sus servidores, ya que todo el tráfico hacia los servidores de SourceHut fue completamente bloqueado por parte del proveedor superior.
Para asegurar el funcionamiento de SourceHut se utilizaron servidores tres centros de datos. En el primero se ejecutaba la configuración de trabajo, el segundo se utilizaba para el respaldo, y el tercero se empleaba para experimentar con la migración de la infraestructura a una implementación del servicio más escalable y robusta (se desarrollaba una versión de próxima generación de SourceHut).
Se necesitaron aproximadamente 9 horas para solucionar el acceso a sus servidores en el centro de datos principal después del bloqueo, pero los desarrolladores no pudieron hacer nada, ya que por la mañana el ataque se intensificó y comenzó a abarcar toda la subred, tras lo cual el proveedor volvió a redirigir el tráfico hacia un interfaz nulo. Los desarrolladores se vieron obligados a comenzar de urgencia a desplegar la infraestructura de SourceHut en otro centro de datos a partir de copias de seguridad (se logró obtener una subred temporal para acceder a los servidores principales solo después de 2 días).
Para protegerse contra ataques DDoS a nivel de red, se consideró óptima la colocación de un intermediario servidores en la red del proveedor de nube OVH, que ofrece protección contra DDoS. Todas las solicitudes se dirigían a este servidor y luego se reenviaban a la infraestructura operativa. Durante la migración, no se pudieron evitar errores que tomaron tiempo adicional, por ejemplo, la restauración mediante la herramienta rsync se realizó incorrectamente, se cometieron errores en la configuración de la red y se enfrentaron problemas con la redirección del tráfico (antes de que la protección DDoS en OVH entrara en funcionamiento, el tráfico del ataque DDoS estaba fluyendo hacia los servidores operativos, lo que hizo que el sistema de protección DDoS reaccionara y reconociera al servidor que recibía las solicitudes como fuente del ataque).
Los desarrolladores también se dirigieron a Cloudflare y a otros servicios de protección contra DDoS, pero el costo de la protección resultó ser exorbitante. Más tarde, los empleados de Cloudflare lograron negociar con la dirección para brindar protección al proyecto SourceHut de forma gratuita como ayuda de patrocinio, pero los desarrolladores de SourceHut rechazaron la oferta, ya que para entonces ya habían avanzado significativamente en la resolución del problema por su cuenta.
La implementación de la nueva infraestructura de SourceHut y la migración del proyecto a servidores en otro centro de datos estaba planificada para realizarse de manera gradual durante al menos un año, pero dadas las circunstancias, la migración tuvo que llevarse a cabo de manera urgente en 7 días. Actualmente, todos los servicios de SourceHut han sido trasladados a otro centro de datos y el funcionamiento de la plataforma se ha restaurado por completo.
La plataforma SourceHut se caracteriza por una interfaz singular, que no se parece a GitHub ni a GitLab, pero es simple, muy rápida y funciona sin JavaScript. SourceHut ofrece funcionalidades como la gestión de repositorios públicos y privados de Git y Mercurial, un sistema flexible de control de acceso, wiki, recepción de informes de errores, infraestructura integrada de integración continua, chat, discusiones por email, visualización en árbol de archivos de correos electrónicos, revisión de cambios a través de la web, y la posibilidad de agregar anotaciones al código (incluyendo enlaces y documentación). Con las configuraciones adecuadas, se permite la participación en el desarrollo de usuarios sin cuentas locales (autenticación a través de OAuth o participación por email). El código está escrito en los lenguajes Python y Go, y se distribuye bajo la licencia GPLv3.
Fuente: opennet.ru
