¿Qué es un ataque DDoS de tipo Slowloris?

Los ataques DDoS de Slowloris se consideran una denegación de servicio distribuida y pueden pasar desapercibidos por los sistemas tradicionales de detección de intrusiones enviando paquetes de solicitud HTTP legítimos a bajas frecuencias de solicitud por segundo, en lugar de registrar grandes volúmenes o altas tasas de solicitudes HTTP por segundo. Además, puesto que el archivo de registro no se puede escribir hasta que se completa una solicitud, Slowloris puede inmovilizar un servidor durante largos periodos de tiempo sin que aparezca ni una sola entrada en el archivo de registro, lo que impide que se detecte la alerta por los responsables de controlar este registro.

Los ataques DDoS tradicionales dirigidos a aplicaciones están diseñados para dejar inactivo un servidor inundándolo con un número abrumador de solicitudes HTTP, lo que requiere recursos sustanciales por parte del atacante. Por el contrario, un ataque de Slowloris necesita únicamente unos pocos cientos de solicitudes a intervalos largos, bajos y regulares, en lugar de decenas de miles de solicitudes HTTP de forma continua. El ancho de banda no es una medida clave para detectar este tipo de DDoS. En su lugar, los equipos de seguridad deben evaluar el número estándar de intentos de conexión, las conexiones abiertas, los grupos de conexiones, las solicitudes HTTP entrantes, las solicitudes HTTP parciales, el número máximo de conexiones permitidas por dirección IP de origen, los balanceadores de carga que mantienen tablas de sesiones, la infraestructura de registro del servidor web y otras rutas de red o del sistema en toda la DMZ.

Los ataques Slowloris pueden mitigarse:

• Limitando el número de conexiones que una sola dirección IP puede solicitar abrir.

• Aumentando de la velocidad de transferencia mínima permitida para cualquier conexión.

• Limitando el tiempo que un cliente puede permanecer conectado.

• Aumentando el número máximo de clientes que el servidor puede permitir.

• Implementando servicios de mitigación de nube sólidos, configurando unos balanceadores de carga resistentes, usando firewall de aplicaciones web (WAF) u otras técnicas de aplicación de parques virtuales, y limitando la frecuencia del número de solicitudes por origen.

Un ataque Slowloris se ejecuta en cuatro pasos:

• El atacante emite instrucciones de mando y control a sus servidores proxy inversos o botnets, que envían varias solicitudes HTTP, encabezados aleatorios y otras técnicas para pasar desapercibido, mientras abre varias conexiones a un servidor de destino desde sus redes globales.

• El servidor de destino abre una conexión TCP para cada solicitud, con la idea de cerrar el subproceso en cuanto se complete la solicitud HTTP. El servidor agotará el tiempo de espera de cualquier conexión que sea excesivamente larga para liberar el subproceso para las solicitudes posteriores.

• Para evitar que los subprocesos se agoten, el atacante enviará de forma intermitente encabezados de solicitud parcial o solicitudes HTTP adicionales para mantener activo el servidor web objetivo, convenciendo al servidor de que espere a que se complete la solicitud HTTP.

• Mientras espera que se inicien más solicitudes HTTP y conexiones TCP, el servidor de destino finalmente se queda sin conexiones disponibles y ya no puede responder a las solicitudes del tráfico legítimo, lo que conduce a la denegación de servicio.

Los cibercriminales pueden lanzar un ataque para destruir el sitio web de un rival o enemigo, como parte de una campaña de hacktivismo político, o para llamar la atención, y que no se detecten otras infracciones de seguridad más peligrosas en curso, lo que se denomina ataques de cortina de humo. Este ataque también se usa mucho porque es difícil identificar una firma y una tasa de abuso. La implementación de la mitigación para estos tipos de ataques puede dar lugar a altas tasas de falsos positivos e influir en la experiencia del usuario que accede a diferentes módulos del servidor web o de la aplicación web.