CyberGlossary

Атаки и угрозы

SYN-флуд

Определение

TCP-атака отказа в обслуживании: множество SYN-пакетов без завершения трёхстороннего рукопожатия исчерпывает ресурсы под состояния соединений на сервере.

При SYN-флуде атакующий инициирует огромное число TCP-соединений, не доводя их до конца. Каждый поддельный или неотвечаемый SYN заставляет сервер выделить полуоткрытое соединение в очереди backlog и отправить SYN/ACK, ожидая финальный ACK, который никогда не приходит. Когда очередь переполнена, сервер отказывает в новых легитимных соединениях. Источником может быть один хост, но чаще — ботнет с подменой IP, что затрудняет фильтрацию. Защита включает SYN cookies (исключающие хранение состояния для каждой полуоткрытой сессии), увеличение или динамическое масштабирование очереди, ограничение скорости подключений на межсетевых экранах и балансировщиках, бесстатусную фильтрацию на границе сети и DDoS-scrubbing у провайдера.

Примеры

  • Ботнет отправляет миллионы поддельных SYN в секунду к веб-серверу и переполняет его TCP-backlog.
  • Небольшой атакующий пользуется отсутствием SYN cookies в старом устройстве и обрушивает его таблицу соединений.

Связанные термины