SYN-Flood

Kurz: Bei einer SYN-Flood schickt ein Angreifer sehr viele Verbindungsanfragen (SYN), ohne den Handschlag je abzuschließen, bis der Server keine neuen Verbindungen mehr annehmen kann.

Genauer: Sie nutzt den Dreiwege-Handschlag von TCP aus. Für jedes SYN reserviert der Server Speicher für eine halboffene Verbindung und wartet vergeblich auf das letzte ACK.

Im Detail

• Wirkung: Die Warteschlange halboffener Verbindungen läuft voll. Echte Nutzer bekommen keine Verbindung mehr. Es ist ein Fall von DDoS.
• Gefälschte Absender: Oft sind die Quelladressen erfunden, sodass die Antworten ins Leere gehen.
• SYN-Cookies: Der Server speichert zunächst nichts, sondern kodiert den Zustand in die Folgenummer der Antwort. Erst ein gültiges ACK legt eine Verbindung an. Standard in Linux (net.ipv4.tcp_syncookies=1).
• Weitere Mittel: Größere Warteschlangen, kürzere Zeitlimits, Ratenbegrenzung an Firewall und Router, Filter am Netzwerkrand, DDoS-Schutzdienste.
• Erkennen: Viele Verbindungen im Zustand SYN_RECV (ss -tan state syn-recv).

Siehe auch: Man-in-the-Middle und DDoS