Slowloris è una specie di Attacco Denial-of-Service in cui l'attaccante cerca di esaurire le risorse del tuo server aprendo molte connessioni ad esso, ma essendo estremamente lento. Ogni connessione aperta consuma alcune risorse sul tuo server: solo un po 'di RAM per i buffer di connessione e lo stato del socket, ma sono comunque risorse.
mod_antiloris è un filtro euristico per tali attacchi. Cerca di individuare situazioni che sono sicuramente di pesce; in questo caso, quando un singolo client (un indirizzo IP) ha aperto molte connessioni al tuo server e le ha ancora tutte nello stato "READ", nel senso che nel protocollo HTTP, tutti questi client dovrebbero parlare successivamente, ma non farlo, o fallo molto lentamente.
Come per tutti gli strumenti euristici, c'è un compromesso: se la soglia del filtro è troppo alta, un attaccante può mantenere un attacco a scala media mentre si tiene sotto il radar. Ma se la soglia è troppo bassa, inizierai a rifiutare gli utenti legittimi. Il problema principale con mod_antiloris è che funziona con indirizzi IP , quindi può essere in contrasto con NAT : se molti utenti umani distinti sono connessi su una singola rete che fa NAT (ad esempio 50 studenti della stessa classe, su una rete University), allora tutte le loro connessioni appariranno, dal tuo server, per venire dal stesso indirizzo IP, e questo potrebbe innescare mod_antiloris anche se questi client sarebbero tutti legittimi. Viceversa, se l'attaccante è motivato abbastanza per essere distribuito (lanciando l'attacco da una botnet, cioè un sacco di host distinti sotto il suo controllo), quindi mod_antiloris non sarà di aiuto, perché sembrerà molto distinto, legittimo clienti.
In ogni caso, ti suggerisco di lasciare questo problema alle persone che gestiscono il tuo hosting: questo è meglio indirizzato al loro livello. Potresti voler indagare su chi potrebbe nutrire rancore nei tuoi confronti, ma è possibile che l'attacco non sia malevolo dopotutto: un software client buggy con script può avere lo stesso effetto (anche se probabilmente non apparirebbe come proveniente da due indirizzi IP distinti, uno in Brasile e uno in Indonesia).