如何最好地抵御"slowloris“DOS对Apache web服务器的攻击？

Question

最近，一部名为"slowloris“的剧本引起了人们的关注。slowloris所做的事情的基本概念并不是新的攻击，但是考虑到最近的关注，我看到针对我们的Apache网站的攻击略有增加。

目前，似乎没有任何100%的防御措施。

到目前为止，我们确定的最佳解决方案是增加MaxClients。

当然，这只会增加攻击者对计算机的要求，而且不会对服务器进行100%的保护。

另一份报告指出，在Apache服务器前面使用反向代理(如Perlbal)可以帮助防止攻击。

使用mod_evasive限制来自一个主机的连接数量，并使用mod_security拒绝看起来像是由slowloris发出的请求似乎是迄今为止最好的防御方法。

有谁在ServerFault上经历过这样的攻击吗？如果是的话，你采取了哪些措施来保护/防止它？

注意:这个问题是针对Apache服务器的，因为我的理解是Windows IIS服务器不受影响。

Answer 1

我经历过这样的袭击..。在仲夏(6月23日)，你应该在乡下喝啤酒:>。

我把我的Apache放在清漆后面，它不仅保护不受slowloris的影响，而且还大大加快了web请求的速度。

此外，iptables帮助我：

iptables -I INPUT -p tcp --dport 80 \
         -m connlimit --connlimit-above 20 --connlimit-mask 40 -j DROP

此规则将一个主机限制为20个连接到端口80，这不应影响非恶意用户，但会使slowloris无法从一个主机上使用。

Answer 2

国防部_抗氯菌，就这么简单。

Answer 3

如果您的所有apache模块都是线程安全的，那么slowloris可以通过切换到事件或辅助MPM来击败。参考文献：这里