Slowloris es una especie de Ataque de denegación de servicio en el que el atacante intenta agotar los recursos de su servidor abriendo muchas conexiones con él, pero siendo extremadamente lento. Cada conexión abierta consume algunos recursos en su servidor: solo un poco de RAM para los búferes de conexión y el estado del socket, pero de todos modos eso es recursos.
mod_antiloris es un filtro heurístico para tales ataques. Intenta detectar situaciones que son definitivamente malolientes; en este caso, cuando un solo cliente (una dirección IP) ha abierto muchas conexiones a su servidor y aún las tiene todas en el estado de "LECTURA", lo que significa que en el protocolo HTTP, se supone que todos estos clientes deben hablar a continuación, pero no lo hagas, o hazlo muy lentamente.
Al igual que con todas las herramientas heurísticas, hay una compensación: si el umbral del filtro es demasiado alto, entonces un atacante puede mantener un ataque de escala media mientras se mantiene bajo el radar. Pero si el umbral es demasiado bajo, entonces comenzará a rechazar a los usuarios legítimos. El principal problema con mod_antiloris es que funciona con direcciones IP , por lo que puede estar en desacuerdo con NAT : si se conectan muchos usuarios humanos distintos en una sola red que realiza NAT (por ejemplo, 50 estudiantes de la misma clase, en una red de la Universidad), todas sus conexiones aparecerán, desde su servidor, desde el servidor. misma dirección IP, y esto puede desencadenar mod_antiloris a pesar de que todos estos clientes serían legítimos. Por el contrario, si el atacante está lo suficientemente motivado para ir distribuido (lanzar el ataque desde una red de bots, es decir, muchos hosts distintos bajo su control), mod_antiloris no ayudará, porque esto parecerá un montón de distintos, legítimos clientes.
En cualquier caso, le sugiero que deje este problema a las personas que manejan su alojamiento: esto se aborda mejor a su nivel. Es posible que desee investigar quién podría tener un rencor contra usted, pero es posible que el ataque no sea malicioso después de todo: un software de cliente con scripts con errores puede tener el mismo efecto (aunque probablemente no parezca que viene de dos direcciones IP distintas, una en Brasil y otra en Indonesia).