現代の大規模攻撃では、両方が同時に発生します。
大量のSYN
│
├─ 接続状態を大量に作らせる
│ └─ SYN backlog、FWセッション表の枯渇
│
└─ 大量のパケットを処理させる
└─ 回線、NIC、CPU、ルーターの枯渇
防御では、次の順序が重要です。
送信元IP詐称を上流ネットワークで防ぐ
CDNやDDoS対策サービスで攻撃を手前に吸収する
SYN ProxyやSYN Cookieで接続元を確認する
OSの接続キューと再送設定を確認する
PPS、SYN/ACK比率、SYN_RECV数を継続監視する
大規模攻撃では、自サーバーへ到達する前に遮断する
この記事では、次の内容を解説します。
TCP SYNフラッド攻撃で何が起きるのか
正常なTCP接続との違い
直送型、IP偽装型、分散型、反射型などの分類
SYNフラッド攻撃がどのように進化してきたか
SYN CookieとSYN Proxyの違い
Linuxで確認すべき項目
CDN、Anycast、XDPなどを使った現代的な防御
誤検知を防ぎながら監視する方法
インシデント発生時の対応方法
対象読者は次のとおりです。