[论文解读] Delays have Dangerous Ends: Slow HTTP/2 DoS attacks into the Wild and their Real-Time Detection using Event Sequence Analysis

Nikhil Tripathi|arXiv (Cornell University)|Mar 31, 2022

Network Security and Intrusion Detection被引用 4

一句话总结

本文提出了一种基于事件序列分析的实时检测方案，用于检测慢速HTTP/2拒绝服务攻击，通过正常序列与异常序列之间的不匹配评分识别攻击，实现高精度检测并保持极低的计算开销。在真实环境测试中，该方法实现了近乎完美的检测效果（100% 召回率）和较低的误报率，证明了其在保护HTTP/2服务器方面的强大实际可行性。

ABSTRACT

The robustness principle, written by Jon Postel in an early version of TCP implementation, states that the communicating entities should be liberal while accepting the data. Several entities on the Internet do follow this principle. For instance, in this work, we show that many popular web servers on the Internet are generous as they wait for a substantial time period to receive the remaining portion of an incomplete web request. Unfortunately, this behavior also makes them vulnerable to a class of cyber attacks, commonly known as Slow Rate DoS attacks. HTTP/2, the recent version of HTTP, is recently found vulnerable to these attacks. However, the impact of Slow HTTP/2 DoS attacks on real web servers on the Internet has not been studied yet. Also, to the best of our knowledge, there is no defense scheme known to detect Slow Rate DoS attacks against HTTP/2 in real-time. To bridge these gaps, we first test the behavior of HTTP/2 supporting web servers on the Internet against Slow HTTP/2 DoS attacks. Subsequently, we propose a scheme to detect these attacks in real-time. We show that the proposed detection scheme can detect attacks in real-time with high accuracy and marginal computational overhead.

研究动机与目标

• 评估HTTP/2 Web服务器在真实网络环境中对慢速拒绝服务攻击的脆弱性。
• 解决现有HTTP/1.1防御机制无法缓解的慢速HTTP/2拒绝服务攻击缺乏实时检测机制的问题。
• 设计并验证一种基于事件序列分析的轻量级、实时检测方案，最大限度减少误报和计算成本。

提出的方法

• 该方案利用事件序列分析，基于帧序列建模正常和异常的HTTP/2请求模式。
• 通过大小为n的滑动窗口，计算观测到的事件序列与学习得到的正常模式之间的不匹配评分。
• 检测阈值（t）在[0.01, 0.02]范围内进行调优，以平衡误报与漏报。
• 当不匹配评分超过阈值时，系统将序列分类为异常，实现早期检测。
• 该方法动态从序列中提取前瞻配对，以实现低延迟分类。
• 通过CPU利用率监控计算开销，结果显示在大多数时间间隔内使用率低于7%，证实了其低资源消耗。

实验结果

研究问题

• RQ1 在顶级网站中，HTTP/2的采用率如何？其在真实世界中对慢速HTTP/2拒绝服务攻击的安全状况如何？
• RQ2 由于连接延迟行为，现实世界中的HTTP/2服务器在多大程度上易受慢速拒绝服务攻击的影响？
• RQ3 事件序列分析能否在实际中实现对慢速HTTP/2拒绝服务攻击的低误报和低计算成本的实时检测？
• RQ4 不同窗口大小（n）如何影响检测精度、延迟和计算开销？
• RQ5 在所提出的方案中，何种阈值（t）能最优地平衡检测性能与误报率？

主要发现

• 在Top 500K Alexa网站中，约71%支持HTTP/2，表明其广泛部署，具有重要的安全分析意义。
• 多个流行的HTTP/2 Web服务器因在请求未完成时仍长时间保持连接而易受慢速HTTP/2拒绝服务攻击。
• 在真实环境测试中，所提出的检测方案实现了100%的召回率和超过98%的准确率，误报率低于2.04%。
• 所有异常序列的检测延迟均稳定低于30秒，支持及时响应。
• 该方案的计算开销极低，大多数时间间隔内CPU使用率低于7%，适合生产环境部署。
• 当不匹配评分阈值（t）位于[0.01, 0.02]范围内时，检测性能达到最优，实现了误报与漏报的平衡。