What Is a SYN Flood Attack?

SYN Flood 攻擊如何運作？

要瞭解 SYN 氾濫攻擊如何運作，讓我們檢視一下標準的 TCP 三方握手。

1. 當用戶端想要建立與特定伺服器的連線時，它會傳送 SYN 封包，表示它想要開始通訊。
2. 伺服器回覆 SYN-ACK 封包，確認收到 SYN，並表示已準備好完成連線。
3. 用戶端回覆 ACK，完成握手並建立連線。

在裝置開始傳輸新的資訊封包之前，會發生這整個來回的過程。

然而，若要在 SYN 氾濫攻擊中濫用此通訊協定，攻擊者只需隱藏最後的 ACK，就能迫使伺服器保持連線開啟。

因此，每個傳入的 SYN 請求都需要伺服器為從未完成的連線分配記憶體和連線插槽。當伺服器被濫用的 SYN 封包淹沒時，這些資源就會迅速耗盡。

這表示合法使用者無法存取服務，因為伺服器無法處理額外的連線嘗試。

隨著時間的推移，這可能會導致完全拒絕服務...

除了對系統資源的直接影響之外，SYN 氾濫攻擊還會對更廣泛的作業造成重大的壓力裂縫。對於有線上作業或關鍵基礎設施的企業而言，這些中斷可能會導致：

• 財務損失
• 聲譽損害
• 關鍵基礎設施故障

由於 SYN 氾濫攻擊可以輕易製造出來，因此經常可以看到這些攻擊被部署為更大攻擊策略的一部分，並削弱目標的防禦 - 產生服務中斷和資料外洩的關鍵組合。

SYN 氾濫攻擊緩解選項

僅基於 IP 的封鎖無法對 SYN 氾濫攻擊發揮作用，因為攻擊者會使用偽造的 IP 位址，因此會將攻擊隱藏在不同裝置的表面。

這也不是最先進的 SYN 氾濫形式 - 偽造的 IP 位址可以透過網際網路服務供應商追蹤回來源。如果攻擊者依賴殭屍網絡來取得這些偽造的 IP 位址，基本上就無法輕易追蹤攻擊的來源。

為了減緩 SYN 氾濫攻擊，可以使用幾種策略，每種策略的設計都是為了降低伺服器的 脆弱性，並在攻擊期間維持服務。

SYN cookie

SYN cookies 是最廣泛使用的方法之一，此技術可防止伺服器為連線分配資源，直到整個 TCP 握手過程完成為止。伺服器不會為每個 SYN 請求預留記憶體，而是將連線的狀態資訊編碼到它傳送給用戶端的 SYN-ACK 封包中。

如果用戶端回應有效的 ACK，伺服器會驗證 cookies 並完成連線。

增加積壓

另一種方法是增加積壓佇列的大小，允許伺服器一次處理更多未完成的連線。雖然這可以在低層次的 SYN 洪水攻擊時提供暫時的緩解，但並不是長期的解決方案。

畢竟，它仍然允許足夠大的攻擊來壓倒伺服器。

速率限制

速率限制是另一種有效的策略，包括設定伺服器在指定時間內可處理 SYN 封包數量的最大限制。

透過控制傳入連線請求的流量，速率限制可防止伺服器因流量突然激增而不堪負荷。同樣地，減少伺服器允許的 SYN-ACK 重試次數，也可以將伺服器在釋放資源前等待最終 ACK 的時間減到最少。

這可讓伺服器更快速地釋放連線插槽，並繼續處理新的要求。

負載平衡器

對於較大規模的保護，負載平衡器或分散式伺服器架構可協助減輕 SYN 氾濫的影響。透過將傳入的流量分散到多台伺服器，負載平衡器可降低單一伺服器不堪負荷的可能性。

此方法不僅可提高對 SYN 氾濫攻擊的應變能力，還可增強整體系統效能與可用性。

這與更廣泛的 IPS 工具配合得很好，因為它們可以將合法流量轉移到不受影響的伺服器。