corelight/http-stalling-detectorDétecter les attaques de blocage HTTP comme slowloris avec Bro
Les attaques DoS par ralentissement HTTP exploitent l'incapacité des serveurs web à déterminer si un client distant est simplement connecté via un lien lent ou si le client distant envoie délibérément des données très lentement pour empêcher le serveur web de déclencher un délai d'attente et de fermer la connexion afin de préserver les ressources système locales. Le comportement généralement adopté par les attaquants consiste à ouvrir un grand nombre de connexions puis à émettre les données au compte-gouttes afin d'empêcher le serveur web de mettre fin à la connexion par expiration du délai. Si un serveur web dispose d'un pool de travailleurs assez réduit, cet épuisement des ressources peut être facilement atteint.
De nombreux serveurs web modernes sont devenus plus défensifs face à ce type d'attaques par épuisement des ressources, mais il reste prudent de surveiller ces attaques et il est très plausible qu'un certain nombre de serveurs web vulnérables soient encore présents dans les réseaux de production. Il est également possible qu'un serveur web soit résistant à une forme d'attaque tout en restant vulnérable à une autre. Par exemple, un serveur web peut être résistant aux données envoyées lentement dans le corps d'une requête POST, mais vulnérable aux données envoyées lentement dans un seul en-tête HTTP ou dans plusieurs en-têtes HTTP. Ce script est conçu pour détecter la notion globale de données envoyées trop lentement dans n'importe quelle partie de la requête client et devrait détecter tous ces styles d'attaque.
L'installation la plus simple se fait via le gestionnaire de paquets Bro ::
bro-pkg refresh
bro-pkg install bro/corelight/http-stalling-detector
La sortie de ce script est une paire de notifications :
HTTPStalling::Attacker - Indique qu'un attaquant réalisant une attaque par ralentissement HTTP a été détecté.
HTTPStalling::Victim - Indique qu'un hôte particulier a été ciblé par un ou plusieurs attaquants.
Les notifications sont ainsi divisées en deux catégories car certains logiciels utilisés pour ces attaques peuvent recourir à des proxys afin de répartir les attaquants sur de nombreuses adresses IP d'origine. Le problème est que si une seule requête provient d'une adresse IP, l'attaque ne serait jamais détectée. En séparant les attaquants et les victimes, la victime apparaît très clairement même en présence de ce type de tentative d'obfuscation.
Écrit par Seth Hall [email protected]