CyberGlossary

Ataques e ameaças

Inundação SYN (SYN flood)

Definição

Ataque DoS baseado em TCP que envia muitos pacotes SYN sem completar o handshake de três vias, esgotando os recursos de estado de conexão do alvo.

Numa inundação SYN, o atacante abre — mas nunca conclui — um grande número de conexões TCP. Cada SYN falsificado ou não respondido obriga o servidor a reservar uma conexão semi-aberta na fila de backlog e a responder com SYN/ACK, à espera de um ACK final que nunca chega. Quando a fila enche, o servidor recusa novas conexões legítimas. As inundações SYN podem vir de um único host ou, mais frequentemente, de uma botnet, com IPs de origem falsificados para dificultar a filtragem. As defesas incluem SYN cookies (eliminando o estado por semi-aberta), filas SYN maiores ou dinâmicas, limitação de taxa em firewalls e balanceadores, filtragem sem estado na fronteira da rede e scrubbing DDoS a montante.

Exemplos

  • Uma botnet envia milhões de pacotes SYN falsificados por segundo a um servidor web, enchendo o seu backlog TCP.
  • Um pequeno atacante explora a ausência de SYN cookies num appliance antigo para fazer crash da sua tabela de conexões.

Termos relacionados