Slow Loris est une attaque par déni de service qui peut envoyer des en-têtes HTTP à l'application cible aussi lentement que possible. L'application cible est contrainte d'attendre l'arrivée des en-têtes et peut également devenir rapidement indisponible pour traiter les requêtes si plusieurs connexions similaires sont ouvertes. Lorsqu'une instance NetScaler reçoit un volume élevé de requêtes HTTP, l'en-tête HTTP augmente et prend beaucoup de temps pour compléter les requêtes. Ce processus peut épuiser les ressources du serveur d'applications et entraîner une attaque HTTP Slow Loris.

À l'aide de l'indicateur HTTP Slow Loris, vous pouvez analyser les requêtes qui ont entraîné une attaque Slow Loris.

Les actions recommandées pour résoudre le problème :

Sous Détails de l'événement, vous pouvez afficher :

L'indicateur DNS Slow Loris détecte lorsqu'un NetScaler reçoit un nombre élevé de requêtes DNS s'étendant sur plus d'un paquet. Ce processus peut épuiser les ressources du serveur DNS et entraîner une attaque DNS Slow Loris. Par défaut, l'instance NetScaler abandonne ces requêtes DNS Slow Loris et aucune autre action n'est requise pour résoudre ce problème.

Sous Détails de l'événement, vous pouvez afficher :

Le Slow Post est une attaque par déni de service qui peut envoyer des en-têtes HTTP POST à une application cible. Dans les en-têtes, les tailles des corps de message sont spécifiées correctement, mais le corps du message est envoyé à faible vitesse. L'application cible est forcée d'attendre et peut également devenir rapidement indisponible pour traiter les requêtes si plusieurs connexions similaires sont ouvertes.

Ce processus peut épuiser les ressources du serveur d'applications et entraîner une attaque HTTP Slow Post.

À l'aide de l'indicateur HTTP Slow Post, vous pouvez analyser les requêtes qui ont entraîné une attaque de type slow post.

L'action recommandée pour résoudre ce problème est d'activer et de configurer le délai d'expiration des requêtes (Request Timeout) dans le profil HTTP de NetScaler. Pour plus d'informations, consultez Configurations HTTP.

Sous Détails de l'événement, vous pouvez afficher :

L'attaque par inondation NXDOMAIN est une attaque par déni de service distribué (DDoS) qui peut cibler un serveur DNS ou une instance ADC (configurée comme serveur proxy DNS) et envoyer un volume élevé de requêtes inexistantes ou invalides. Cette attaque peut impacter le serveur DNS ou l'instance ADC, entraînant un ralentissement ou l'absence de réponse aux requêtes.

À l'aide de l'indicateur Attaque par inondation NXDOMAIN, vous pouvez analyser les requêtes qui ont entraîné une attaque NXDOMAIN.

Les Actions recommandées pour résoudre le problème :

Sous Détails de l'événement, vous pouvez afficher :

Dans une attaque de désynchronisation HTTP, une seule requête HTTP est interprétée comme :

Dans ce scénario, le serveur principal interprète la deuxième requête comme provenant d'un client différent. La connexion entre le serveur virtuel et le serveur principal est réutilisée pour différentes requêtes. Si la première requête client est traitée par un client malveillant avec des données malveillantes, la requête client suivante peut être une requête personnalisée. Cette activité peut provoquer une attaque en abusant de la combinaison de deux en-têtes : la longueur du contenu et l'encodage de transfert.

À l'aide de l'indicateur Attaque de désynchronisation HTTP, vous pouvez analyser si l'instance NetScaler pourrait être sous une attaque de désynchronisation HTTP qui s'est produite en raison de la présence de :

L'Action recommandée vous suggère d'envisager de supprimer les transactions HTTP non valides.

Sous Détails de l'événement, vous pouvez afficher :

L'instance NetScaler détecte si une séquence d'octets donnée d'un message chiffré a le format de remplissage correct lors du déchiffrement.

À l'aide de l'indicateur Attaque Bleichenbacher, vous pouvez analyser si l'instance NetScaler reçoit des connexions d'établissement de liaison SSL/TLS avec des données chiffrées erronées.

L'Action recommandée indique qu'aucune autre action n'est requise car l'instance NetScaler met fin aux connexions d'établissement de liaison et atténue cette attaque.

Sous Détails de l'événement, vous pouvez afficher :

Une Attaque Segment Smack est une attaque par déni de service (DoS), dans laquelle l'attaquant peut envoyer des paquets de petite taille non ordonnés pendant une session TCP. Ces paquets TCP personnalisés peuvent affecter le CPU et la mémoire, et entraîner un déni de service sur l'instance NetScaler.

À l'aide de l'indicateur Attaque Segment Smack, vous pouvez analyser si une instance NetScaler a reçu un grand nombre de paquets TCP supérieur à la limite de file d'attente configurée. Pour plus d'informations, consultez Configuration TCP.

En tant qu'administrateur, aucune autre action n'est requise car l'instance NetScaler atténue cette attaque en supprimant tous ces paquets TCP excédentaires.

Sous Détails de l'événement, vous pouvez afficher :

Une attaque par inondation SYN est une attaque par déni de service (DoS) qui peut affecter la machine cible en envoyant des milliers de requêtes de connexion à l'aide d'adresses IP usurpées. Lorsqu'une instance NetScaler est soumise à une attaque par inondation SYN, l'instance tente d'ouvrir une connexion pour chaque requête malveillante, puis attend un paquet d'accusé de réception qui n'arrive jamais.

Le SYNCOOKIE dans le profil TCP empêche les attaques SYN sur l'appliance NetScaler. Par défaut, le SYNCOOKIE sur l'instance ADC est activé. La probabilité que l'instance NetScaler soit soumise à une attaque par inondation SYN est élevée uniquement lorsque SYNCOOKIE est désactivé.

À l'aide de l'indicateur Attaque par inondation SYN, vous pouvez analyser si l'instance NetScaler est sous attaque SYN.

En tant qu'administrateur, l'Action recommandée vous suggère d'activer SYN COOKIE dans le profil TCP.

Sous Détails de l'événement, vous pouvez afficher :

Une attaque par petite fenêtre est une attaque par déni de service (DoS) qui peut affecter la machine cible en envoyant des milliers de paquets TCP avec une taille de fenêtre plus petite ou une taille de fenêtre de 0. Une taille de fenêtre de 0 indique que la machine cible doit cesser d'envoyer des données jusqu'à nouvel ordre. En envoyant autant de connexions similaires à la machine cible, la mémoire de la machine cible est utilisée au maximum et devient insensible.

À l'aide de l'indicateur Attaque par petite fenêtre, vous pouvez analyser si l'instance NetScaler est sous l'attaque sockstress.

Par défaut, l'instance NetScaler atténue cette attaque en abandonnant tous les paquets TCP de petite fenêtre. Par conséquent, en tant qu'administrateur, aucune autre action n'est requise.

Sous Détails de l'événement, vous pouvez afficher :