corelight/http-stalling-detectorكشف هجمات تعليق HTTP مثل slowloris باستخدام Bro
تستغل هجمات حجب الخدمة عبر تباطؤ HTTP (HTTP stalling DoS) عجز خوادم الويب عن تحديد ما إذا كان العميل البعيد متصلاً عبر رابط بطيء فقط، أم أنه يتعمّد إرسال البيانات ببطء شديد لتجنّب قيام خادم الويب بإنهاء المهلة (timeout) وإغلاق الاتصال للحفاظ على موارد النظام المحلية. السلوك الذي يظهر عادةً من المهاجمين هو فتح عدد كبير من الاتصالات وإرسال البيانات ببطء شديد لمنع خادم الويب من إنهاء مهلة الاتصال. إذا كان خادم الويب يستخدم مجموعة عمال صغيرة نسبياً، فإن استنزاف الموارد هذا قد يكون سهلاً بلوغه.
أصبحت العديد من خوادم الويب الحديثة أكثر دفاعية تجاه هجمات استنزاف الموارد من هذا النوع، لكن لا يزال من الحكمة مراقبة هذه الهجمات، ومن المحتمل جداً أن عدداً من خوادم الويب المعرّضة للخطر ما زالت موجودة في شبكات الإنتاج. ومن الممكن أيضاً أن يكون خادم الويب مقاومًا لشكل واحد من الهجوم وما زال معرّضًا لشكل آخر. على سبيل المثال، قد يكون خادم الويب مقاومًا لإرسال البيانات ببطء في جسم طلب POST لكنه معرّض للخطر إذا أُرسلت البيانات ببطء في ترويسة HTTP واحدة أو عدة ترويسات HTTP. صُمم هذا السكربت لالتقاط الفكرة العامة لإرسال البيانات ببطء شديد في أي جزء من طلب العميل، وينبغي أن يلتقط أيًا من أنماط الهجوم هذه.
من الأسهل تثبيت هذا عبر مدير حزم Bro:
bro-pkg refresh
bro-pkg install bro/corelight/http-stalling-detector
مخرجات هذا السكربت عبارة عن زوج من الإشعارات:
HTTPStalling::Attacker - يشير هذا إلى أنه تم اكتشاف مهاجم ينفّذ هجوم تباطؤ HTTP.
HTTPStalling::Victim - يشير هذا إلى أن مضيفًا معينًا كان مستهدفًا من قبل مهاجم واحد أو أكثر.
تُقسَّم الإشعارات إلى اثنين بهذه الطريقة لأنه توجد بعض البرامج التي تنفّذ هذه الهجمات ويمكنها استخدام وكلاء (proxies) لنشر المهاجمين عبر العديد من عناوين IP المصدر. والقلق هنا هو أنه إذا كان الطلب الواحد هو كل ما يأتي من عنوان IP، فلن يتم اكتشاف الهجوم أبدًا. ومن خلال التقسيم إلى مهاجمين وضحايا، يظهر الضحية بوضوح شديد حتى في وجود هذا النوع من محاولات الإخفاء.
Written by Seth Hall [email protected]