Slow Post攻撃は、WebサーバーによるHTTP POSTリクエストの処理方法を悪用するサービス拒否（DoS）攻撃の一種です。この攻撃では、一見正当なHTTP POSTリクエストをサーバーに送信しますが、その送信速度は意図的に非常に低速です。この攻撃の目的は、接続を長時間開いたままにすることでサーバーのリソースを占有し、正当なユーザーへのサービス提供や他のリクエストの効率的な処理をサーバーが行えないようにすることです。特に、HTTP POSTメソッドによるリクエスト処理に依存するWebサーバーやアプリケーションサーバーに対して効果的です。
スローポスト攻撃では、攻撃者はPOSTリクエストを送信しますが、データは意図的に非常にゆっくりと、通常は小さなチャンクで送信されます。攻撃の仕組みは以下のとおりです。
最初の HTTP POST リクエストを送信: 攻撃者は、サーバーに正当であるように見える通常の HTTP POST リクエストを開始します。
データをゆっくり送信する: 攻撃者は、POST リクエストの本文全体を一度に送信するのではなく、非常に小さなチャンクに分けて送信し、意図的に送信速度を低下させます。
接続を開いたままにする: サーバーはリクエスト全体が完了するまで待機し、接続を維持するためにサーバーリソースを消費します。攻撃者はリクエストの一部を連続して送信し、サーバーが完了するまで待機状態を維持します。
サーバー リソースの枯渇: 複数の低速 POST 要求が送信されると、サーバー上のスレッド、メモリ、要求処理機能などの利用可能なリソースが不足し始め、他のユーザーに対するサービス拒否が発生します。
スローポスト攻撃は、サーバーに過負荷をかけるために大量のデータを必要としないため、効果的です。主な利点は次のとおりです。
トラフィック量が少ない：Slow Post攻撃は帯域幅をほとんど消費しないため、検知が困難です。攻撃者はサーバーに大量のトラフィックを流す必要がないため、他のDoS攻撃よりもステルス性が高くなっています。
標的のサーバー リソース: 攻撃は、サーバーの POST リクエストの処理方法を悪用して、サーバーのスレッド、メモリ、およびリクエスト処理能力を直接標的にします。
バイパス検出: 他の多くの種類の DDoS 攻撃とは異なり、Slow Post 攻撃ではトラフィックに顕著な急増が生じないため、正当なトラフィックと区別することが困難です。
スローポスト攻撃は効果的ですが、いくつかの課題と考慮事項があります。
サーバー構成: Slow Post攻撃は、主にスレッドベースのサーバー、または受信リクエストのタイムアウト設定が制限されているサーバーに影響します。ApacheなどのWebサーバーは特に脆弱ですが、Nginxなどの最新のイベント駆動型サーバーは影響を受けにくい可能性があります。
検出の難しさ：スローポスト攻撃は、大量のトラフィックを生成しないため、検出が困難です。攻撃者は正規ユーザーと同様のペースでデータを送信するため、セキュリティツールがトラフィックを悪意のあるものとして検出しない可能性があります。
ユーザー エクスペリエンスへの影響: スロー ポスト攻撃が成功すると、サーバーのパフォーマンスが大幅に低下し、正当なリクエストの処理が遅くなり、実際のユーザーのタイムアウトが発生する可能性があります。
スローポスト攻撃のリスクを軽減するために、いくつかの戦略を採用できます。
タイムアウト設定: 接続にタイムアウトを設定することで、指定された時間内に完了しないリクエストを確実に破棄できます。例えば、Webサーバーは一定時間経過しても完全なデータを受信できない場合、接続を閉じることができます。
レート制限: 一定時間内にクライアントが送信できるPOSTリクエストの数を制限することで、過剰なスローPOST攻撃を防ぐことができます。レート制限により、クライアントが1秒あたりに送信できるPOSTリクエストの数が指定数以下に制限されます。
Web アプリケーション ファイアウォール (WAF): WAF は、不完全な POST リクエストや疑わしい POST リクエストを検出してフィルタリングし、データ転送速度の低下などの動作パターンに基づいて既知の悪意のあるソースからのリクエストをブロックします。
侵入検知システム (IDS): IDS を実装すると、小さなデータ チャンクがゆっくりと送信されるなど、データ転送のタイミングにおける異常なパターンを検出し、潜在的な Slow Post 攻撃を管理者に警告することができます。
非スレッド サーバーを使用する: Apache などのスレッドベースの Web サーバーから Nginx などのイベント駆動型サーバーに切り替えると、リクエストごとに個別のスレッドが割り当てられないため、Slow Post 攻撃の影響を軽減できます。
接続制限: 攻撃者が低速の POST 接続でサーバーを圧倒するのを防ぐために、短期間に単一のクライアントがサーバーと確立できる接続の数に制限を設定します。
Slow Post攻撃は、WebサーバーのHTTP POSTリクエスト処理を標的とする、強力でありながら巧妙なサービス拒否（DoS）攻撃です。攻撃者は、遅くて不完全なPOSTリクエストを送信することで、サーバーのリソースを枯渇させ、正常なサービスを妨害することができます。Slow Post攻撃の検知と軽減は困難な場合がありますが、レート制限、タイムアウト設定、WAFの利用といったベストプラクティスを適用することで、このような攻撃のリスクを大幅に軽減できます。