Slowloris DDoS 攻撃とは

Slowloris DDoS 攻撃は分散型サービス妨害攻撃とみなされますが、1 秒あたり高ボリュームまたは高レートの HTTP 要求を送信するのではなく、1 秒あたり低レートで正当な HTTP 要求パケットを送信するため、従来の侵入検知システムでは検知されずに攻撃が継続される可能性があります。また、ログファイルは要求が完了するまで書き込めないため、Slowloris の攻撃を受けた場合は、ログファイルにエントリが 1 つ記録されません。そのため、監視者の注意を引くことなく、長期間サーバーを停止させることができます。

従来のアプリケーション DDoS 攻撃は、攻撃者のリソースを大量に要求する、膨大な数の HTTP 要求をフラッディングしてサーバーをダウンさせるように設計されています。一方、Slowloris 攻撃に必要なのは、数万件の HTTP 要求を継続的に送信することではなく、数百件の要求を長く低頻度かつ一定間隔で送信することだけです。この種の DDoS を検知する場合、帯域幅は重要な指標にはなりません。その代わりにセキュリティチームが評価しなければならない事項は、標準的な接続試行数、オープンな状態の接続、接続プール、着信 HTTP 要求、部分的な HTTP 要求、送信元 IP アドレスあたりの最大許容接続数、セッションテーブルを保持しているロードバランサー、Web サーバー・ロギング・インフラ、そして DMZ 全体のその他のネットワークまたはシステムパスなど、多岐にわたります。

Slowloris 攻撃は次の方法で緩和できます。

• 1 つの IP アドレスからオープンすることを要求できる接続数を制限する。

• 任意の接続で許容される最小転送速度を上げる。

• クライアントが接続を維持できる時間を制限する。

• サーバーが許可するクライアントの最大数を増やす。

• 堅牢なクラウド緩和サービスの導入、堅牢なロードバランサーの設定、Web アプリケーションファイアウォール（WAF）またはその他の仮想パッチ技術の使用、ソースあたりの要求数のレート制限。

Slowloris 攻撃は、次の 4 ステップで実行されます。

• 攻撃者がボットネットまたはリバースプロキシにコマンド & コントロールを発行します。これにより、複数の HTTP 要求、ランダム化されたヘッダー、およびその他のバイパス手法が送信され、攻撃者のグローバルネットワークから標的サーバーへの複数の接続がオープンされます。

• 標的サーバーは、各要求に対して TCP 接続をオープンしますが、HTTP 要求が完了すれば即座にスレッドを閉じることになっています。また、接続に時間がかかり過ぎる場合は、その接続をタイムアウトにして、その後の要求のためにスレッドを解放します。

• 攻撃者はスレッドがタイムアウトになるのを防ぐために、部分的な要求ヘッダーや追加の HTTP 要求を断続的に送信し、標的 Web サーバーを稼動状態に保ち、サーバーが HTTP 要求の完了を待機するよう仕向けます。

• さらに多くの HTTP 要求と TCP 接続が開始され、それらの完了を待っているうちに標的サーバーは使用可能な接続数を使い果たし、正当なトラフィックの要求に応答できなくなります。こうしてサービス拒否が発生するのです。

サイバー犯罪者は、政治的ハクティビズムキャンペーンの一環としてライバルや敵の Web サイトをダウンさせるため、または進行中のより危険な他のセキュリティ侵害から注意をそらすため（スモークスクリーン攻撃）に攻撃を仕掛けることがあります。この攻撃が一般的に使用されているのは、不正のシグネチャとレートを特定しにくいからです。この種の攻撃に対する緩和策を実装すると、フォールス・ポジティブ（誤検知）の確率が高くなり、Web サーバーまたは Web アプリケーションのさまざまなモジュールにアクセスするユーザーの体験に影響を及ぼす可能性があります。