El término ataque DoS lento ( SDA ) se introdujo en 2013 [1] para definir claramente una categoría específica de ataques de denegación de servicio que utilizan una velocidad de ancho de banda baja para lograr su propósito. Se pueden encontrar términos similares en la literatura, como:
En particular, para reducir el ancho de banda, un ataque DoS lento a menudo actúa en la capa de aplicación de la pila ISO/OSI (por ejemplo, en caso de amenazas de explotación de tiempo de espera [4] ), aunque esto no es un requisito. [5] Sin embargo, dicha capa es más fácil de explotar para atacar con éxito a una víctima incluso enviándole unos pocos bytes de solicitudes maliciosas.
El propósito de un ataque DoS lento es (a menudo, pero no siempre [4] ) provocar la indisponibilidad de un servicio de red, al apoderarse de todas las conexiones que el demonio puede gestionar simultáneamente, en la capa de aplicación. En tales condiciones, el demonio no aceptará ninguna nueva conexión entrante, incluso de clientes potencialmente legítimos, lo que provocará una denegación de servicio. Además, una vez que el atacante establece/dimensiona una conexión, el adversario la mantendrá activa el mayor tiempo posible (evitando así los cierres de conexión, que podrían liberar recursos para clientes legítimos). Para mantener activas las conexiones, reduciendo al mismo tiempo el ancho de banda del ataque, considerando una única conexión, los datos se envían al servicio objetivo solo en momentos específicos, explotando el denominado parámetro Wait Timeout [1], programando una actividad periódica de envío de datos (en la capa de aplicación): una vez que expira el tiempo de espera, se envía una carga útil específica (dependiendo del tipo de ataque y del enfoque utilizado por el usuario malintencionado) al demonio objetivo. Si bien en las capas inferiores de la pila ISO/OSI los tiempos de espera pueden ser relativamente cortos, en este caso pueden asumir valores particularmente largos, del orden de minutos.
Según Cambiaso et al., [1] los ataques DoS lentos explotan uno o más parámetros característicos de las conexiones basadas en TCP . Dichos parámetros se explotan para mantener activas las conexiones durante más tiempo del esperado preservando el ancho de banda del ataque, con lo que se aprovechan los recursos del servidor durante mucho tiempo y, al mismo tiempo, se reducen los recursos del ataque.