Slowloris / RUDY / Hulk DoS 공격방식 및 대응법

#1 Slow HTTP Header DoS Attack (Slowloris Attack)

1) 개요

- HTTP Header 정보를 비정상적으로 조작하여 웹서버가 온전한 Header 정보가 올때까지 기다리도록 한다.

- 서버가 연결 상태를 유지할 수 있는 가용자원은 한계가 있으므로 임계치를 넘어가면 다른 정상적인 접근을 거부하게 된다.

2) 패킷내용

- GET방식의 메소드는 헤더의 데이터끼리 구분할때 구분자를 0d 0a 0d 0a로 헤더의 끝을 나타낸다. Slowloris는 의도적으로 헤더의 끝을 맺지 않고 0d 0a만 보내어 서버에서 헤더가 끝날때까지 대기상태를 지속적으로 만드는 공격이다.

3) 대응방법

- 공격자가 동시에 많은 세션을 유지하므로 방화벽 등을 통하여 세션 임계치 제한을 설정한다. (한 IP에서 동시 연결에 대한 임계치 설정)

- 공격자가 헤더를 천천히 전달하므로 연결 타임아웃 시간을 적절히 짧게 두어 의심되는 연결은 종료되도록 만든다.

 

#2 Slow HTTP POST DoS Attack (RUDY Attack)

1) 개요

- Content-Length를 비정상적으로 크게 설정한 후 소량의 데이터를 지속적으로 천천히 보내서 서버의 부하를 일으키는 공격이다.

2) 패킷내용

- Content-Length를 100000byte로 하고 데이터는 일정한 간격으로 1byte씩 전송한다.

3) 대응방법

- 공격자가 동시에 많은 세션을 유지하므로 방화벽 등을 통하여 세션 임계치 제한을 설정한다. (한 IP에서 동시 연결에 대한 임계치 설정)

- 세션 타임아웃 시간을 적절히 짧게 두어 의심되는 연결은 종료되도록 만든다.

 

#3 Hulk DoS

1) 개요

- 웹서버의 가용량을 모두 사용하여 정상적인 서비스가 불가능하도록 하는 GET Flooding 공격 유형이다.

- URL주소를 계속 변경하여 특정 URL에 대한 임계치 기반의 DDoS 차단정책을 우회할 수 있다.

2) 패킷내용

- 'GET /?ABC' 'GET /?TEST' 'GET /?TISTORY' 이런 식으로 URL주소만 변경하여 전송한다.

3) 대응방법

- 공격자가 동시에 많은 세션을 유지하므로 방화벽 등을 통하여 세션 임계치 제한을 설정한다. (한 IP에서 동시 연결에 대한 임계치 설정)

- URL을 계속 변경하므로 URL이 아닌 HTTP request의 host 필드값에 대한 임계치 설정을 한다.