Försvar mot HTTP denial-of-service attacker på självkörda webbapplikationer

Denial-of-service (DoS) attacks are a common threat to any resource on the internet, making knowledge regarding how to prevent them increasingly valuable. In this paper we have investigated different HTTP DoS attacks, how they affect web servers, and what steps one might take to protect a self-hosted web application from such attacks. In our testing, the web application was hosted on a Raspberry Pi, a common vehicle for self-hosting. Our research indicates that NGINX is the preferred web server software for this purpose, but results of our testing also showed that additional steps needed to be taken for proper protection. Configuring the server to close unusually slow connections, as well as limiting the rate of requests to the application, proved to be fairly effective countermeasures. Combining these efforts with intrusion prevention software like Fail2ban was shown to give sufficient protection against non-distributed HTTP DoS attacks. Limitations and drawbacks of these mitigation tactics were discussed, as well as other ways to protect against distributed (DDoS) attacks, with third party services such as Cloudflare being explored.Denial-of-service (DoS) attacker är ett vanligt hot mot åtskilliga internetresurser, något som gör kunskap kring hur man skyddar sig mot dem alltmer värdefullt. I denna rapport har vi undersökt olika HTTP DoS-attacker, hur de påverkar webbservrar, och vilka åtgärder man som utvecklare av webbapplikationer bör vidta för att skydda sig från sådana attacker. För våra tester kördes webbapplikationen på en Raspberry Pi, en enhet som ofta används för detta syfte. Vår forskning tyder på att NGINX är den föredragna webbservern för att skydda mot DoS-attacker, men resultaten från våra tester visar att ytterligare åtgärder rekommenderas för ett lämpligt skydd. Genom att konfigurera webbservern att stänga ovanligt långsamma anslutningar samt att begränsa anropstakten till applikationen, kan man uppnå ett förhållandevis starkt skydd. I kombination med intrångsskyddssystem som Fail2ban kan webapplikationen motstå de flesta icke-distribuerade HTTP DoS-attacker. Begränsningar och nackdelar med dessa skyddsåtgärder samt ytterligare skydd mot DDoS-attacker diskuteras. Här nämns Cloudflare som ett exempel på en tredje parts-tjänst