¿Qué es un ataque Slowloris?
Slowloris es un ataque DDoS de bajo ancho de banda que tumba un servidor web manteniendo muchas conexiones abiertas el mayor tiempo posible. En lugar de inundar con tráfico, envía peticiones HTTP incompletas y las mantiene vivas enviando cabeceras parciales cada cierto tiempo, ocupando todas las conexiones disponibles del servidor sin llegar a completarlas nunca.
¿Por qué es tan eficaz con tan pocos recursos?
Un solo atacante, desde una máquina modesta, puede dejar fuera de servicio a un servidor Apache mal configurado porque el ataque no depende del volumen sino de agotar el pool de conexiones concurrentes. Servidores con límites bajos de conexiones simultáneas son especialmente vulnerables.
¿Cómo mitigar Slowloris?
Limitar el número de conexiones por IP, reducir los tiempos de espera (timeouts) de conexiones lentas, usar módulos como mod_reqtimeout en Apache, y anteponer un proxy inverso o balanceador (nginx, HAProxy) o un servicio anti-DDoS que cierre conexiones incompletas antes de que lleguen al origen.
Por qué basta un portátil para tumbar un servidor
Porque Slowloris no busca saturar el ancho de banda sino agotar un recurso mucho más escaso: el número de conexiones simultáneas que el servidor puede mantener abiertas. Abre cientos de conexiones y envía cabeceras HTTP incompletas muy despacio, lo justo para que el servidor no cierre por inactividad. Cada conexión consume un hilo o un espacio en la tabla, y cuando se agotan, el servidor deja de aceptar visitantes legítimos sin haber recibido apenas tráfico.
Qué servidores son vulnerables y cuáles no
Depende del modelo de concurrencia. Los servidores que dedican un hilo o un proceso por conexión —Apache con el MPM prefork es el caso clásico— son especialmente sensibles, porque cada conexión a medio hacer inmoviliza un trabajador completo. Los basados en eventos, como nginx, manejan miles de conexiones ociosas con un coste mínimo y resisten mucho mejor, aunque no son inmunes si los límites de conexión por IP no están configurados.
Cómo se detecta y se mitiga
La señal es un número alto de conexiones abiertas con muy poco tráfico y peticiones que nunca se completan, a menudo desde pocas direcciones. La mitigación pasa por acortar los tiempos de espera de cabecera y cuerpo, limitar las conexiones simultáneas por IP, exigir que la petición se complete en un plazo razonable y poner delante un proxy inverso o un servicio de borde que solo entregue al origen peticiones ya completas, que es lo que anula el ataque de raíz.
