Slowloris saldırısı

Slowloris saldırısı nedir?

Slowloris, web sunucusuna çok sayıda HTTP bağlantısı açıp her birini mümkün olduğunca yavaş ve yarım tutarak sunucunun eşzamanlı bağlantı sınırını doldurmayı amaçlayan bir hizmet engelleme saldırısıdır. Çok az bant genişliği gerektirir ve tek bir makineden bile etkili olabilir.

Klasik hacimsel saldırılardan farkı, trafiğin büyük olmamasıdır. Sunucu boşta bekleyen bağlantıları açık tuttuğu için meşru ziyaretçiler yeni bağlantı kuramaz hale gelir.

Nasıl çalışır?

Saldırgan geçerli bir HTTP isteğinin başlıklarını göndermeye başlar ama isteği hiç tamamlamaz. Belirli aralıklarla bir başlık satırı daha göndererek bağlantının zaman aşımına uğramasını önler. Sunucu isteğin bitmesini beklerken işçi süreçlerini veya iş parçacıklarını bu bağlantılara ayırır.

Her işlem başına bir iş parçacığı ya da süreç ayıran mimariler daha savunmasızdır. Olay tabanlı çalışan sunucular daha dayanıklıdır ama başlık zaman aşımları gevşekse onlar da zorlanabilir. Benzer mantıkla çalışan “yavaş gövde” (slow POST) ve “yavaş okuma” varyantları da vardır.

Sunucu ve hosting ortamında

Apache'nin prefork ve worker modelleri, sınırlı MaxRequestWorkers değeri ile birlikte bu saldırıya karşı klasik hedeftir. Belirtiler: sunucu yükü düşük görünürken sitenin yanıt vermemesi, ss çıktısında çok sayıda ESTABLISHED bağlantı ve erişim günlüğünde tamamlanmamış istekler. Ters vekil olarak önde duran bir Nginx ya da CDN genellikle bu saldırıyı sizin yerinize emer.

Paylaşımlı hostingde bir sitenin hedef alınması aynı sunucudaki diğer sitelerin de yavaşlamasına yol açabilir.

Nasıl korunulur?

• Başlık ve gövde için zaman aşımlarını kısaltın; Apache'de mod_reqtimeout, Nginx'te client_header_timeout ve client_body_timeout.
• Olay tabanlı bir ters vekili (Nginx gibi) uygulamanın önüne koyun.
• IP başına eşzamanlı bağlantı sayısını sınırlayın (limit_conn, güvenlik duvarı kuralları).
• CDN veya DDoS koruma hizmetini kullanın; bağlantıyı onlar sonlandırsın.
• Fail2ban veya güvenlik duvarı ile aşırı bağlantı açan adresleri geçici engelleyin.
• Bağlantı sayısını izleyip eşik aşımında uyarı kurun.

Sık yapılan hatalar

• Yalnızca bant genişliğini izleyip bağlantı sayısını izlememek.
• Zaman aşımlarını uygulamanın gereğinden çok yüksek bırakmak.
• Sunucuyu doğrudan internete açıp ters vekil kullanmamak.
• Sorunu “yük” sanıp yalnızca kaynak eklemek.