説明
Robert "RSnake" Hansen によって開発された Slowloris は、1 台のコンピュータにインターネット サーバーのダウンを要求することを許可する DDoS 攻撃ソフトウェアです。この攻撃は単純かつ洗練された性質を持っているため、実装には最小限の帯域幅が必要で、ターゲット サーバーの Web サーバーのみに影響を与え、他のサービスやポートにはほとんど副作用がありません。Slowloris は、多くの一般的な種類の Web サーバー ソフトウェアに対して非常に効果的であることが証明されています。長年にわたり、Slowloris はさまざまな注目を集めるサーバーのダウンダウンを行ってきたとされています。特に、これは 2009 年のイラン大統領選挙後、イラン政府のインターネット サイトを攻撃するためにイランの「ハキビスト」によって広範囲に使用されていました。Slowloris は、標的の Web サーバーへの複数の接続を開き、それらを可能な限り長く開いたままにすることによって機能します。これは、部分的な HTTP リクエストを継続的に送信することによって行われますが、そのリクエストはいずれも完了しません。攻撃されたサーバーはさらにオープンし、各攻撃リクエストが完了することを期待して接続を開きます。定期的に、Slowloris はリクエストごとに後続の HTTP ヘッダーを送信しますが、実際にはリクエストを完了しません。最終的に、ターゲット サーバーの最大同時接続プールがいっぱいになり、余分な (正当な) 接続試行は拒否されます。Slowloris は、不正なパケットではなく、部分的なパケットを送信することで、従来の侵入検知システムを簡単にすり抜けることができます。霊長類のヤスローロリスは、ゆっくりと着実に動くことでレースに勝ちます。Slowloris 攻撃は、ソケットを 1 つずつ消費する前に、正当なリクエストによってソケットが解放されるのを待つ必要があります。大容量のインターネット サイトの場合、これにはしばらく時間がかかります。正規のセッションが再開始されると、メソッドの速度がさらに遅くなることがよくあります。しかし、攻撃が軽減されなければ、最終的には、ヤドンが亀のようにレースに勝ちます。検出されないか軽減されない場合、ヤスローの攻撃は長期間続く可能性もあります。ソケットアウトが攻撃されると、Slowloris は単に接続を再開し、軽減されるまでオンライン サーバーにアクセスし続けます。Slowloris は効果としてステルス性も考慮して設計されており、仮想ホストがターゲットになったイベント内で異なるホスト ヘッダーを送信するように変更されることがよくあり、ログが保存されます。さらに重要なのは、攻撃の過程において、Slowloris はログ ファイルの作成を抑制するように設定されることがよくあります。これは、ログ ファイル エントリに危険信号が表示されず、監視されていないサーバーを不意を突いて攻撃できることを示唆しています。緩和の方法Imperva のセキュリティ サービスは、クライアントのサーバーへのすべての受信リクエストの検査に使用されるリバース プロキシ テクノロジーによって有効になっています。 Imperva の安全なプロキシは部分的な接続リクエストを転送しないため、Slowloris DDoS 攻撃の試みはすべて完全かつ完全に無効になります。