Che cos'è un attacco DDoS Slowloris?

Un attacco DDoS Slowloris è considerato un denial of service distribuito e può rimanere nascosto ai tradizionali sistemi di rilevamento delle intrusioni inviando pacchetti di richieste HTTP legittime caratterizzate da basse velocità al secondo anziché da alti volumi e alte velocità. Inoltre, poiché il file di registro non può essere scritto finché la richiesta non viene completata, Slowloris è in grado di immobilizzare un server a lungo senza che nel file di registro venga visualizzata alcuna voce che allerti qualcuno che possa intervenire con controlli.

Gli attacchi DDoS tradizionali sono progettati per causare il down di un server, sovraccaricandolo con enormi quantità di richieste HTTP che richiedono un uso intensivo di risorse da parte dell'autore dell'attacco. Un attacco Slowloris, invece, potrebbe richiedere solo poche centinaia di richieste eseguite a intervalli lunghi e regolari e a bassa velocità, anziché decine di migliaia di richieste continuative. La larghezza di banda non è una misura efficace per il rilevamento di questa tipologia di attacchi DDoS. Per contro, i team addetti alla sicurezza devono invece valutare il numero standard di tentativi di connessione, connessioni aperte, pool di connessione, richieste HTTP in entrata, richieste HTTP parziali, numero massimo di connessioni consentite per ciascun indirizzo IP di origine, bilanciatori del carico che mantengono tabelle di sessione, infrastruttura di registrazione del server web e altri percorsi di rete o di sistema nell'intera infrastruttura DMZ.

Gli attacchi Slowloris possono essere mitigati nei seguenti modi:

• Limitando il numero di connessioni che un singolo indirizzo IP può richiedere.

• Aumentando la velocità minima di trasferimento consentita per le connessioni.

• Limitando la finestra temporale nella quale un client può rimanere connesso.

• Aumentando il numero massimo di client consentiti dal server.

• Distribuendo servizi cloud di mitigazione efficaci, configurando solidi sistemi di bilanciamento del carico, utilizzando firewall WAF (Web Application Firewall) o altre tecniche di patch virtuali e limitando il numero di richieste per origine, in base alla velocità.

Un attacco Slowloris viene eseguito in quattro fasi:

• L'aggressore invia istruzioni di comando e controllo alla botnet o ai proxy inversi che a loro volta inviano richieste HTTP multiple, intestazioni randomizzate e altre tecniche di elusione, aprendo contemporaneamente più connessioni a un server di destinazione dalle loro reti globali.

• Il server destinato apre una connessione TCP per ogni richiesta, pianificando la chiusura del thread nel momento in cui la richiesta HTTP viene completata. Il server esegue quindi il timeout delle connessioni eccessivamente lunghe per liberare il thread per richieste successive.

• Per evitare il timeout dei thread, il malintenzionato invia intestazioni di richiesta parziali o richieste HTTP aggiuntive in modo intermittente, per mantenere attivo il server web e fare in modo che attenda il completamento della richiesta HTTP.

• Nell'attesa che altre richieste HTTP e connessioni TCP vengano avviate, il server di destinazione esaurisce le connessioni disponibili e non è più in grado di rispondere alle richieste di traffico legittimo, con conseguenti denial of service.

I cybercriminali possono sferrare un attacco per abbattere il sito web di un rivale o un nemico, come parte di una campagna di hacktivismo politico o per spostare l'attenzione su altre violazioni della sicurezza più pericolose, utilizzandoli come cortina di fumo. Questo tipo di attacco viene diffusamente utilizzato perché è difficile identificarne la firma e il tasso di abuso. Implementare la mitigazione per questo tipo di attacchi può portare a tassi elevati di falsi positivi e influire sulla experience dell'utente che accede ai vari moduli del server web o applicazione web.