SYN-флуд

Коротко: За SYN-флуду зловмисник надсилає дуже багато запитів на з’єднання (SYN), так і не завершуючи рукостискання, доки сервер не перестане приймати нові з’єднання.

Докладніше: Атака використовує триетапне рукостискання TCP. На кожен SYN сервер резервує пам’ять під напіввідкрите з’єднання й марно чекає останнього ACK.

Подробиці

• Ефект: Черга напіввідкритих з’єднань переповнюється. Справжні користувачі не отримують з’єднання. Це випадок DDoS.
• Підроблені відправники: Адреси джерел часто вигадані, тому відповіді йдуть у порожнечу.
• SYN-куки: Сервер спершу нічого не зберігає, а кодує стан у порядковому номері своєї відповіді. Лише коректний ACK створює з’єднання. За замовчуванням у Linux (net.ipv4.tcp_syncookies=1).
• Інші заходи: Довші черги, коротші тайм-аути, обмеження швидкості на міжмережевому екрані та маршрутизаторі, фільтрація на межі мережі, служби захисту від DDoS.
• Як помітити: Багато з’єднань у стані SYN_RECV (ss -tan state syn-recv).

Див. також: Man-in-the-Middle і DDoS