Slowloris, çok düşük bant genişliğiyle bir web sunucusunu hizmet veremez hâle getirebilen bir saldırı tekniğidir. Saldırgan çok sayıda bağlantı açar ve her birinde isteği kasıtlı olarak yavaş gönderir. İstek hiçbir zaman tamamlanmadığı için sunucu bağlantıyı açık tutmaya devam eder. Yeterli sayıda bağlantı açıldığında sunucunun eşzamanlı bağlantı kapasitesi dolar. Meşru kullanıcılar bu noktada hizmete erişemez.

Saldırının en dikkat çekici özelliği, çok az kaynak gerektirmesidir. Tek bir bilgisayardan yürütülebilir ve ürettiği trafik hacmi son derece düşüktür. Bu nedenle hacim tabanlı koruma çözümleri saldırıyı fark etmeyebilir. Trafik grafiklerinde anormallik görünmez ama servis erişilemez hâle gelir. Bu çelişki, tespiti zorlaştıran temel etkendir.

Slowloris Saldırısı Nedir?

Slowloris, çok sayıda bağlantının açılıp isteklerin kasıtlı olarak yavaş gönderilmesiyle sunucunun eşzamanlı bağlantı kapasitesinin tüketildiği uygulama katmanı hizmet reddi saldırısıdır.

Teknik, isteklerin tamamlanmasını bekleyen sunucu mimarilerini hedef alır. Her bağlantı için ayrı bir iş parçacığı ya da süreç ayıran mimariler bu saldırıya daha açıktır. Olay tabanlı çalışan mimariler ise daha dayanıklıdır. Bu nedenle sunucu yazılımı seçimi doğrudan dayanıklılığı etkiler. Mimari karar, güvenlik kararıdır.

Nasıl Çalışır?

Saldırgan sunucuya bağlanır ve istek başlığını göndermeye başlar ama tamamlamaz. Belirli aralıklarla bir satır daha göndererek bağlantının zaman aşımına uğramasını engeller. Sunucu, isteğin devam ettiğini düşünerek beklemeye devam eder. Bu döngü, yüzlerce bağlantı için eş zamanlı olarak sürdürülür. Kapasite dolduğunda yeni bağlantılar reddedilir.

Benzer mantıkla çalışan varyasyonlar da bulunur. İstek gövdesinin yavaş gönderilmesi ya da yanıtın yavaş okunması aynı sonucu üretir. Bu varyasyonlar farklı sunucu yapılandırmalarını hedefler. Savunmanın hepsini kapsaması gerekir. Tek bir varyasyona odaklanan koruma eksik kalır.

• Çok sayıda bağlantının açık tutulması
• İstek başlığının hiç tamamlanmaması
• Düzenli aralıklarla küçük veri gönderilerek zaman aşımının engellenmesi
• İstek gövdesinin çok yavaş gönderilmesi
• Yanıtın çok yavaş okunarak bağlantının meşgul tutulması

Nasıl Önlenir?

İlk önlem, istek tamamlanma süresi için bir üst sınır tanımlanmasıdır. Belirli sürede tamamlanmayan istekler sonlandırılır. Bu sınır, meşru yavaş bağlantıları etkilemeyecek ama saldırıyı engelleyecek biçimde ayarlanmalıdır. Ayar, kurumun kullanıcı profiline göre belirlenir. Test edilerek doğrulanması gerekir.

İkinci önlem, tek bir kaynaktan açılabilecek eşzamanlı bağlantı sayısının sınırlanmasıdır. Bu sınır, tek bir saldırganın kapasiteyi doldurmasını engeller. Ancak dağıtık uygulanan saldırılarda etkisi azalır. Yine de temel bir koruma katmanı sağlar. Uygulaması basittir.

Üçüncü önlem, ters proxy ya da yük dengeleyici kullanımıdır. Bu bileşenler istekleri tamamen alıp arka uca öyle iletir, böylece yavaş istekler arka uç sunucuları etkilemez. Bu mimari, saldırıya karşı en etkili yapısal çözümdür. Ters proxy kullanımı ayrıca başka faydalar da sağlar. Mimari standardın parçası olmalıdır.

Sunucu Yapılandırması

Web sunucusu yazılımlarının çoğu, bu saldırıya karşı yapılandırma seçenekleri sunar. Başlık okuma zaman aşımı, gövde okuma zaman aşımı ve minimum veri hızı bu seçenekler arasındadır. Bu değerlerin varsayılanları genellikle gevşektir. Kurulum sonrası sıkılaştırma yapılması gerekir. Sıkılaştırma kılavuzları bu maddeleri içerir.

Bazı sunucu yazılımları için ek modüller de bulunur. Bu modüller, yavaş bağlantıları tespit ederek otomatik olarak sonlandırır. Modül kullanımı, yapılandırma seçeneklerinin yetersiz kaldığı durumlarda tercih edilir. Ek bileşenlerin bakım yükü de değerlendirilmelidir. Basit yapılandırma çoğu durumda yeterlidir.

Yapılandırma değişiklikleri sonrasında yük testi yapılması önerilir. Aşırı sıkı ayarlar, meşru kullanıcıların isteklerinin de kesilmesine yol açabilir. Özellikle mobil ağlardan gelen yavaş bağlantılar etkilenebilir. Test, dengenin doğru kurulduğunu gösterir. Değişiklik izlenmeden uygulanmamalıdır.

Tespit Yöntemleri

Tespitin temel göstergesi, açık bağlantı sayısının artmasına rağmen trafik hacminin düşük kalmasıdır. Bu çelişkili durum, saldırıyı diğer hizmet reddi türlerinden ayırır. İzleme panellerinde bu iki metriğin birlikte gösterilmesi faydalıdır. Tek metrik izlendiğinde saldırı görünmez. Metrik seçimi bu nedenle önemlidir.

İkinci gösterge, tamamlanmayan istek oranındaki artıştır. Sunucu kayıtlarında zaman aşımına uğrayan istek sayısı izlenir. Ani yükseliş uyarı üretmelidir. Bu kural, uygulama kayıtları üzerinde tanımlanır. Kayıt seviyesinin uygun ayarlanması gerekir.

Üçüncü gösterge, hizmet reddi analizinde de kullanılan kaynak adres başına bağlantı sayısıdır. Tek bir adresten çok sayıda uzun süreli bağlantı açılması dikkat çekicidir. Bu bilgi, engelleme kararında da kullanılır. Dağıtık saldırılarda ise gösterge zayıflar. Bu durumda diğer göstergeler öne çıkar.

Hangi Sunucular Etkilenir?

Her bağlantı için ayrı bir iş parçacığı ya da süreç ayıran sunucu mimarileri bu saldırıya en açık olanlardır. Bu mimarilerde eşzamanlı bağlantı sayısı doğrudan bellek ve işlem kaynağıyla sınırlıdır. Olay tabanlı mimariler ise çok sayıda bağlantıyı düşük maliyetle taşıyabilir. Bu nedenle sunucu yazılımı seçimi dayanıklılığı doğrudan etkiler. Seçim, mimari kararların parçasıdır.

Uygulama sunucuları da benzer riski taşır. Web sunucusunun arkasında çalışan uygulama katmanı, bağlantı havuzu sınırlarıyla çalışır. Havuz dolduğunda yeni istekler beklemeye alınır. Bu sınırların izlenmesi ve uygun boyutlandırılması gerekir. İzleme yapılmadığında sorun ancak kesinti anında fark edilir.

Ters proxy kullanımı bu riski büyük ölçüde ortadan kaldırır. Proxy, isteği tamamen aldıktan sonra arka uca iletir; böylece yavaş istekler arka ucu etkilemez. Bu mimari ayrıca başka güvenlik faydaları da sağlar. Standart mimari tercihi olması önerilir. Sonradan eklenmesi de mümkündür.

Diğer Yavaş Saldırı Türleri

İstek gövdesinin yavaş gönderilmesi, aynı mantığın farklı bir uygulamasıdır. Sunucu, belirtilen uzunluktaki gövdeyi beklerken bağlantıyı açık tutar. Bu varyasyon, yalnızca başlık zaman aşımı tanımlayan yapılandırmaları atlar. Bu nedenle gövde okuma zaman aşımı da tanımlanmalıdır. İki ayarın birlikte yapılandırılması gerekir.

Yanıtın yavaş okunması ise ters yönde çalışan bir varyasyondur. İstemci isteği normal gönderir ama yanıtı çok yavaş okur. Sunucu, yanıtı gönderene kadar bağlantıyı ve kaynağı tutar. Bu varyasyon için yazma zaman aşımı tanımlanmalıdır. Ayar birçok yapılandırmada eksiktir.

Bu varyasyonların hepsi aynı temel önlemle kapatılır: her aşama için zaman ve hız sınırı tanımlanması. Sınırların tamamının tanımlanmış olması gerekir. Eksik bir sınır, saldırıya açık bir yol bırakır. Yapılandırma kontrol listesi bu maddeleri içermelidir. Kontrol dönemsel olarak tekrarlanır.

Uygulama Katmanı Koruması

Web uygulama güvenlik duvarları da bu saldırılara karşı koruma sağlayabilir. Bu bileşenler, yavaş istekleri tespit ederek sonlandırır ve arka ucu korur. Web uygulama güvenlik duvarı yapılandırmasında bu koruma özelliğinin etkin olduğu doğrulanmalıdır. Varsayılan kural setleri bu korumayı içermeyebilir. Kontrol edilmesi gerekir.

İçerik dağıtım ağları da benzer bir koruma sunar. İstekler dağıtım ağı üzerinde sonlandırıldığı için kaynak sunucu doğrudan etkilenmez. Bu mimari ayrıca performans kazancı da sağlar. Kullanım kararı iş gereksinimlerine göre verilir. Güvenlik faydası ek bir gerekçe oluşturur.

Privia Security olarak web sunucu yapılandırmalarını ve uygulama katmanı dayanıklılığınıaltyapı ve mimari gözden geçirme kapsamında inceliyoruz.