HTTP Slow Post和IIS设置以防止

Question

因此，我们从安全公司获得此报告称，我们在IIS 8.0上运行的MVC网站容易受到缓慢的HTTP后DoS攻击。报告指出我们应该

• 限制请求属性是通过<RequestLimits>元素， 特别是maxAllowedContentLength，maxQueryString和maxUrl 属性。
• 设置<headerLimits>以配置标头的类型和大小 网络服务器将接受。
• 调整connectionTimeout，
  headerWaitTimeout和<limits>的minBytesPerSecond属性 和<WebLimits>元素，以尽量减少慢速HTTP攻击的影响。

麻烦的是我很难找到关于如何设置这些值的任何建议。例如。 minBytesPerSecond默认为240，但是应该如何防止SlowHTTPPost攻击呢？

干杯 延

Answer 1

所以，最后关注这个人的建议：

http://cagdasulucan.blogspot.se/2013/02/iis-recommendations-against-slow-http.html

Answer 2

在我们的测试中，我们发现Qualys标记了URL，因为服务器在等待请求完成时将连接保持打开状态500秒。

我们为使连接在缓慢响应期间保持打开状态而编辑的参数为minBytesPerSecond。默认值为250。我们将其设置为400

Prevent Slow HTTP POST vulnerability Denial of Service (DoS) attack