CyberGlossary

Angriffe und Bedrohungen

SYN-Flood

Definition

TCP-basierter Denial-of-Service-Angriff, der viele SYN-Pakete sendet, ohne den Drei-Wege-Handshake abzuschließen, und so die Verbindungsressourcen des Ziels erschöpft.

Bei einem SYN-Flood öffnet der Angreifer sehr viele TCP-Verbindungen, schließt sie aber nie ab. Jedes gespoofte oder unbeantwortete SYN zwingt den Server, einen Half-Open-Eintrag in der Backlog-Queue anzulegen und mit SYN/ACK zu antworten, während er auf das finale ACK wartet, das nie eintrifft. Ist der Backlog voll, werden neue legitime Verbindungen abgewiesen. SYN-Floods kommen aus einer einzigen Quelle oder häufiger aus einem Botnet, oft mit gespooften Quell-IPs, um Filterung zu erschweren. Gegenmaßnahmen sind SYN-Cookies (kein State pro Half-Open mehr nötig), größere oder dynamische SYN-Queues, Connection-Rate-Limiting an Firewalls und Load Balancern, zustandsloses Filtern am Netzrand und Upstream-Scrubbing.

Beispiele

  • Ein Botnet sendet pro Sekunde Millionen gespoofter SYN-Pakete an einen Webserver und füllt dessen TCP-Backlog.
  • Ein kleiner Angreifer nutzt die fehlenden SYN-Cookies einer alten Appliance aus, um deren Verbindungstabelle zu sprengen.

Verwandte Begriffe