Qu'est-ce qu'une attaque DDoS Slowloris ?

Une attaque DDoS Slowloris est considérée comme un déni de service distribué, et peut passer sous les radars des systèmes de détection d'intrusion traditionnels en envoyant des paquets de requêtes HTTP légitimes à un faible taux de requêtes par seconde, plutôt que de gros volumes ou un taux élevé de requêtes HTTP par seconde. De plus, comme le fichier journal ne peut pas être écrit tant qu'une requête n'est pas terminée, Slowloris peut immobiliser un serveur pendant de longues périodes sans qu'une seule entrée n'apparaisse dans le fichier journal et n'attire l'attention de ceux qui le surveillent.

Les attaques DDoS d'application traditionnelles sont conçues pour faire tomber un serveur en l'inondant d'un nombre écrasant de requêtes HTTP, ce qui nécessite des ressources substantielles de la part du pirate. En revanche, une attaque Slowloris peut ne nécessiter que quelques centaines de requêtes à intervalles longs, faibles et réguliers, plutôt que des dizaines de milliers de requêtes HTTP en continu. La bande passante n'est pas une mesure clé dans la détection de ce type d'attaque DDoS. Les équipes de sécurité doivent plutôt évaluer le nombre standard de tentatives de connexion, les connexions ouvertes, les pools de connexion, les requêtes HTTP entrantes, les requêtes HTTP partielles, le nombre maximal de connexions autorisées par adresse IP source, les équilibreurs de charge gérant les tables de session, l'infrastructure de journalisation des serveurs Web et les autres chemins réseau ou système dans la DMZ.

Les attaques Slowloris peuvent être atténuées en prenant les mesures suivantes :

• Limiter le nombre de connexions qu'une seule adresse IP peut ouvrir.

• Augmenter la vitesse de transfert minimale autorisée pour n'importe quelle connexion.

• Limiter la durée pendant laquelle un client est autorisé à rester connecté.

• Augmenter le nombre maximum de clients autorisé par le serveur.

• Déployer des services robustes de protection contre les attaques dans le cloud, configurer des équilibreurs de charge performants, utiliser des Web Application Firewalls (WAF) ou d'autres techniques de correctifs virtuels et limiter le nombre de demandes par source.

Une attaque Slowloris se déroule en quatre étapes :

• Le pirate transmet des instructions de commande et de contrôle à son botnet ou à ses proxys inverses, qui envoient de multiples requêtes HTTP, incluent des en-têtes aléatoires et utilisent d'autres techniques de contournement, tout en ouvrant de nombreuses connexions à un serveur ciblé depuis leurs réseaux mondiaux.

• Le serveur ciblé ouvre une connexion TCP pour chaque demande, en prévoyant de fermer le thread dès que la demande HTTP est terminée. Le serveur interrompt toute connexion excessivement longue afin de libérer le thread pour les demandes suivantes.

• Pour empêcher la fermeture des threads, le pirate envoie par intermittence des en-têtes de requête partiels ou des requêtes HTTP supplémentaires pour maintenir le serveur Web ciblé en activité et le convaincre d'attendre que la requête HTTP soit terminée.

• En attendant que d'autres requêtes HTTP et connexions TCP soient lancées, le serveur cible finit par manquer de connexions disponibles et ne plus pouvoir répondre aux requêtes du trafic légitime, ce qui entraîne un déni de service.

Les cybercriminels peuvent lancer une attaque pour mettre hors service le site Web d'un rival ou d'un adversaire, dans le cadre d'une campagne d'hacktivisme politique, ou pour détourner l'attention d'autres violations de sécurité plus dangereuses en cours, en servant d'écran de fumée. Cette attaque est également couramment utilisée car il est difficile d'identifier sa signature et sa fréquence d'attaque. L'adoption de mesures de protection contre ces types d'attaques peut entraîner un nombre élevé de faux positifs et avoir un impact sur l'expérience de l'utilisateur qui accède à différents modules du serveur ou de l'application Web.