ただし、危険度は構成によって異なります。

影響を受けやすい構成

• サーバーのグローバルIPを直接公開している

• 回線帯域が小さい

• VPSの前段にCDNやDDoS対策がない

• ステートフルファイアウォールの接続表が小さい

• TCPサービスを広範囲へ公開している

• SYN_RECV数やPPSを監視していない

• 上流事業者とのDDoS対応手順が決まっていない

比較的影響を抑えやすい構成

• Web通信をCDNやリバースプロキシ経由に限定している

• オリジンサーバーへの直接通信を遮断している

• Anycast型DDoS対策を利用している

• SYN Proxyが前段にある

• SSHや管理画面をVPN内に限定している

• 上流で攻撃トラフィックを破棄できる

原因

原因はTCPの状態管理と攻撃コストの非対称性

SYNフラッドの根本には、攻撃側と防御側の負担差があります。

攻撃者は、SYNパケットを1個送るだけで済みます。

一方、受信側は次の処理を行います。