O que é um ataque DDoS Slowloris?

Um ataque DDoS Slowloris é considerado uma negação de serviço distribuída, e pode permanecer não detectado pelos sistemas tradicionais de detecção de intrusão enviando pacotes de solicitação HTTP legítimos a taxas baixas de solicitação por segundo, em vez de grandes volumes ou altas taxas de solicitações HTTP por segundo. Além disso, como o arquivo de log não pode ser gravado até que uma solicitação seja concluída, Slowloris pode imobilizar um servidor por períodos sem que uma única entrada apareça no arquivo de log para gerar um sinal de alerta para qualquer pessoa que o esteja monitorando.

Os ataques DDoS tradicionais a aplicações são projetados para tirar do ar um servidor inundando-o com um número esmagador de solicitações HTTP, o que requer recursos substanciais do invasor. Por outro lado, um ataque Slowloris pode exigir apenas algumas centenas de solicitações em intervalos longos, baixos e regulares, em vez de dezenas de milhares de solicitações HTTP continuamente. A largura de banda não é uma medida-chave para detectar esse tipo de DDoS. Em vez disso, as equipes de segurança devem avaliar o número padrão de tentativas de conexão, conexões abertas, pools de conexão, solicitações HTTP de entrada, solicitações HTTP parciais, número máximo de conexões permitidas por endereço IP de origem, balanceadores de carga que mantêm tabelas de sessão, infraestrutura de registro de servidor da Web e outros caminhos de rede ou sistema em toda a DMZ.

Os ataques de Slowloris podem ser mitigados pelo(a):

• Limitação do número de conexões que um único endereço IP pode solicitar para abrir.

• Aumento da velocidade mínima de transferência permitida para qualquer conexão.

• Limitação do tempo que um cliente tem permissão para permanecer conectado.

• Aumento do número máximo de clientes permitidos pelo servidor.

• Implantação de serviços robustos de mitigação de nuvem, configuração de balanceadores de carga robustos, uso de WAFs (firewalls de aplicação Web) ou outras técnicas de aplicação de patches virtuais e limitação do número de solicitações por fonte.

Um ataque Slowloris é executado em quatro etapas:

• O invasor emite instruções de comando e controle para seu botnet ou proxies reversos, que enviam várias solicitações HTTP, cabeçalhos aleatórios e outras técnicas de desvio, ao mesmo tempo em que abre várias conexões a um servidor de destino a partir de suas redes globais.

• O servidor de destino abre uma conexão TCP para cada solicitação, planejando fechar a thread assim que a solicitação HTTP for concluída. O servidor atingirá o tempo limite para qualquer conexão excessivamente longa, para liberar a thread para solicitações subsequentes.

• Para evitar que as threads atinjam o tempo limite, o invasor enviará intermitentemente cabeçalhos de solicitação parcial ou solicitações HTTP adicionais para manter o servidor Web de destino ativo, convencendo efetivamente o servidor a aguardar a conclusão da solicitação HTTP.

• Enquanto espera que mais solicitações HTTP e conexões TCP sejam iniciadas, o servidor de destino acaba ficando sem conexões disponíveis e deixa de ser capaz de responder a solicitações de tráfego legítimo, levando à negação de serviço.

Os criminosos virtuais podem lançar um ataque para derrubar o site de um rival ou inimigo; como parte de uma campanha de hacktivismo político; ou para chamar a atenção de outras violações de segurança mais perigosas em andamento, chamadas de ataques smokescreen. Esse ataque também é comumente usado por ser difícil identificar sua assinatura e taxa de abuso. A implementação da atenuação para esses tipos de ataques pode levar a altas taxas de falsos positivos e afetar a experiência do usuário acessar diferentes módulos do servidor da Web ou da aplicação da Web.