Knowledge Base

Защита сканера от tarpit, slow response и oversized response

Риск

Категория: Security Strategy · Риск: high

Риск

Проверяемый сайт может попытаться навредить сканеру не атакой в классическом смысле, а поведением протокола: держать соединение открытым, отдавать бесконечный поток, возвращать огромный ответ или уводить в цепочку редиректов.

Защитные правила

• connect timeout: короткий;
• read timeout: короткий;
• общий deadline на модуль и scan job;
• лимит размера ответа;
• лимит редиректов;
• запрет private/reserved IP на каждом redirect;
• контейнерные лимиты CPU/RAM;
• max concurrent connections per scan;
• circuit breaker при серии timeout.

Что не делать

Не скачивайте большие файлы, не распаковывайте архивы, не парсите XML с внешними сущностями, не открывайте документы и не ждите “идеальный” ответ. Сканер должен быть bounded по времени, памяти и сети.