Iscrpljivanje resursaResource Exhaustion

Opis

Ovi napadi često izgledaju skromno od spolja. Nekoliko zahteva može pokrenuti skupu pretragu, loše napisan regularni izraz, generisanje velikog izveštaja, upis ogromnih evidencija ili konekcije koje predugo ostaju otvorene. Server se tada ne ruši zato što ga je neko zatrpao količinom, nego zato što svaki zahtev košta previše.

Iscrpljivanje resursa je granica između bezbednosti i arhitekture. Ako sistem nema limite, prioritet, prekidanje sporih operacija i zaštitu od zloupotrebe skupih funkcija, napadač koristi regularan mehanizam da napravi problem.

Primeri

• Zahtevi za složenu pretragu baze troše sav CPU i usporavaju aplikaciju za sve korisnike.
• Manipulisani unos pravi ogromne zapise u evidenciji i puni disk servera.
• Slowloris stil napada drži konekcije otvorenim i polako troši kapacitet veb servera.

Napomene

• Nije svaka dostupnost pitanje mrežnog linka. Aplikacija može pasti i na bazi, memoriji, thread pool-u ili jednom preskupom endpoint-u.
• Skupa operacija mora imati cenu, limit ili red. Ako je besplatna i neograničena, napadač će je koristiti kao polugu.