HTTP Stalling Detector

Ataques de DoS por estagnação HTTP (HTTP stalling) aproveitam a incapacidade dos servidores web de determinar se um cliente remoto está apenas conectado por um link lento ou se o cliente remoto está deliberadamente enviando dados muito lentamente para evitar que o servidor web aplique um timeout e encerre a conexão para preservar os recursos locais do sistema. O comportamento tipicamente visto por atacantes é abrir muitas conexões e gotejar dados lentamente para impedir que o servidor web encerre a conexão por timeout. Se um servidor web estiver usando um pool de workers relativamente pequeno, essa exaustão de recursos pode ser fácil de alcançar.

Muitos servidores web modernos tornaram-se mais defensivos em relação a esse tipo de ataque de exaustão de recursos, mas ainda é prudente ficar atento a esses ataques, e é bem plausível que vários servidores web vulneráveis ainda estejam presentes em redes de produção. Também é possível que um servidor web seja resistente a uma forma do ataque e ainda assim vulnerável a outra. Por exemplo, um servidor web pode ser resistente a dados enviados lentamente no corpo do POST, mas vulnerável a dados enviados lentamente em um único cabeçalho HTTP ou em vários cabeçalhos HTTP. Este script tem a intenção de capturar a noção geral de dados sendo enviados lentamente demais em qualquer parte da requisição do cliente e deve detectar qualquer um desses estilos de ataque.

Instalação

A maneira mais fácil de instalar é através do gerenciador de pacotes do Bro::

bro-pkg refresh
bro-pkg install bro/corelight/http-stalling-detector

Uso

A saída deste script é um par de notificações:

HTTPStalling::Attacker - Isto indica que um atacante executando um ataque de estagnação HTTP foi detectado.

HTTPStalling::Victim - Isto indica que um determinado host foi alvo de um ou mais atacantes.

As notificações são divididas em duas dessa forma porque existe algum software para realizar esses ataques que pode usar proxies para espalhar os atacantes por muitos endereços IP de origem. A preocupação é que, se uma única requisição for tudo o que já veio de um endereço IP, o ataque nunca seria detectado. Ao dividir entre atacantes e vítimas, a vítima aparece claramente mesmo na presença desse tipo de tentativa de ofuscação.

Sobre

Escrito por Seth Hall [email protected]