Як найкраще захиститися від атаки DOS від "slowloris" проти веб-сервера Apache?

Нещодавно сценарій під назвою "slowloris" привернув увагу. Основна концепція того, що робить slowloris, - це не нова атака, але, враховуючи недавню увагу, я спостерігав невелике зростання нападів на деякі наші веб-сайти Apache.

Наразі стовідсоткової захисту від цього не існує.

Найкраще рішення, яке ми визначили (поки що) - збільшити MaxClients.

Це, звичайно, не тільки збільшує вимоги до комп'ютера зловмисника і фактично не захищає сервер на 100%.

В іншому звіті вказується, що використання зворотного проксі (наприклад, Perlbal) перед сервером Apache може допомогти запобігти атаці.

Використання mod_evasive для обмеження кількості з'єднань від одного хоста та використання mod_security для відмови у запитах, схожих на те, що їх видав slowloris, здається, найкраща захист до цих пір.

Хтось із ServerFault зазнав таких атак? Якщо так, то які заходи ви вживали для захисту / запобігання?

ПРИМІТКА. Це питання стосується серверів Apache, оскільки я розумію, що сервери Windows IIS не впливають.

Я пережив таку атаку ... посеред літнього літа (23 червня), де ви повинні бути в сільській місцевості і пити пиво:>

Я поставив Apache позаду Varnish , який не тільки захистив від slowloris, але і досить прискорив веб-запити.

Також iptablesмені допомогли:

iptables -I INPUT -p tcp --dport 80 \
         -m connlimit --connlimit-above 20 --connlimit-mask 40 -j DROP

Це правило обмежує один хост до 20 підключень до порту 80, що не повинно впливати на нешкідливого користувача, але зробить slowloris непридатним для використання одного хоста.

mod_antiloris , простий так.

Якщо всі ваші модулі apache безпечні для потоків, slowloris можна перемогти, просто переключившись на MPM-файли подій або робочих. ref: тут

Зараз здається, що більше нічого не можна робити, щоб обмежити максимум одночасних з'єднань на ip на сервері.

Ви можете спробувати користувацький патч. Він змінює час очікування на основі завантаження, на якому знаходиться сервер, але, враховуючи його стан, ви, можливо, не захочете використовувати його на виробничій машині без серйозних тестувань. Погляньте тут.

брандмауер на базі iptable повинен захищати вас від декількох з'єднань від 1 ip.

Якщо це допомагає комусь іншому, іноді ви можете подолати це питання за допомогою Apache 2.2.15 або новішої версії за допомогою наступної конфігурації:

LoadModule reqtimeout_module modules/mod_reqtimeout.so
RequestReadTimeout header=20-40,MinRate=500 body=20,MinRate=500

Більше інформації тут: https://httpd.apache.org/docs/2.2/mod/mod_reqtimeout.html