НеИБи

Beget залихорадило В ночь на 2 ноября сбой у хостинг-провайдера Beget сопровождался аномальной активностью в глобальной маршрутизации. По данным RIPE BGPlay, непосредственно перед началом инцидента нестабильность фиксировалась сразу у многих префиксов компании. По данным BGP Update Activity, за один час в сети Beget было зафиксировано почти 1 млн BGP-обновлений (причем только анонсов по изменению маршрутов без их отзывов). Это в сотни раз выше обычного фона для крупных сетей. Это может указывать, как и на внутреннюю ошибку конфигураций, хотя она слишком масштабная, так и на реакцию на атаку. Одновременно на графике RPKI by AS для AS198610 фиксировалось резкое падение доли анонсов, покрытых валидными ROA (криптографическими подтверждениями права компании анонсировать свои IP-адреса). Это означает, что часть анонсов Beget могла перестать проходить проверку RPKI, а сети, которые фильтруют маршруты по RPKI, могли начать отбрасывать такие анонсы как невалидные. Падение RPKI-покрытия могло быть как отдельным слоем проблемы, так и следствием экстренной перестройки маршрутизации. Оба фактора сразу об атаке не говорят, но поверить в такую критичную ошибку в конфигурациях по глупости всем было нелегко. Позже Beget официально признал, что инфраструктура подверглась массированной кибератаке. Компания сообщала о ручном восстановлении настроек оборудования в дата-центрах. Впрочем, публичных данных о векторе атаки и о том, какие именно префиксы и ROA пострадали, пока нет. Почти в самом начале инцидента было понятно, что пострадали сайты клиентов компаниии, панели управления, VPS, почта и DNS. Но сейчас еще труднее понять сколько потребуется время на восстановление. Пока компания заявляет о скором восстановлении NS-серверов, почты и резервов. Что будет с данными клиентов, включая базы данных и файлы сайтов, — не ясно. А вот переезжать на другие хосты все сложнее. Компания и так занимала второе место по .RU после Рег.ру, а тут еще и проблемы с ЦОДами… В общем желаем всем восстановить маршрутизацию поскорее. @antiinfosec