HTTPスタリング型DoS攻撃は、Webサーバーが、リモートクライアントが単に 低速リンク経由で接続しているだけなのか、それともWebサーバーがローカル システムリソースを保護するためにタイムアウトして接続を切断するのを 防ぐべく、意図的にデータを非常にゆっくり送信しているのかを判別できない という特性を悪用します。攻撃者に典型的に見られる挙動は、多数の接続を 開き、Webサーバーが接続をタイムアウトさせないようにデータを少しずつ ゆっくり送り出すことです。Webサーバーが比較的小規模なワーカープールを 使用している場合、このリソース枯渇は容易に引き起こせます。
近年の多くのWebサーバーは、この種のリソース枯渇攻撃に対して 防御を強化してきましたが、それでも攻撃を監視することは賢明であり、 脆弱なWebサーバーが本番ネットワークにまだ多数残っている可能性は 非常に高いと言えます。また、Webサーバーがある形態の攻撃には 耐性があっても、別の形態には依然として脆弱である可能性もあります。 例えば、WebサーバーがPOSTボディでデータをゆっくり送信される攻撃には 耐性があっても、単一のHTTPヘッダーまたは複数のHTTPヘッダーでデータを ゆっくり送信される攻撃には脆弱である場合があります。このスクリプトは、 クライアントリクエストのどの部分であっても、データが遅すぎる速度で 送信されているという全般的な状況を検出することを目的としており、これらの攻撃スタイルのいずれも検出できるはずです。
これは、Broパッケージマネージャーを使用してインストールするのが最も簡単です::
bro-pkg refresh
bro-pkg install bro/corelight/http-stalling-detector
このスクリプトの出力は、次の2つのノーティス（通知）です:
HTTPStalling::Attacker - これは、HTTPスタリング攻撃を実行している攻撃者が 検出されたことを示します。
HTTPStalling::Victim - これは、特定のホストが1つ以上の攻撃者によって標的と されたことを示します。
このように通知が2つに分かれているのは、これらの攻撃を実行するソフトウェアの 中には、プロキシを使用して攻撃者を多数の送信元IPアドレスに分散させるものが あるためです。懸念されるのは、あるIPアドレスから送信されてくるのが単一の リクエストだけだった場合、攻撃が検出されない可能性があることです。攻撃者と 被害者に分けて検出することで、この種の難読化の試みが行われている場合でも、 被害者は非常に明確に浮かび上がります。
著者: Seth Hall [email protected]