サイバー攻撃について
SYNフラッドは、1つの軸だけでは整理できません。
次の4つの軸で分類すると、現代の攻撃を理解しやすくなります。
| 分類軸 | 例 |
|---|---|
| 送信元 | 単一ホスト、ボットネット、反射サーバー |
| IPアドレス | 実IP、偽装IP、被害者IPへの偽装 |
| 宛先 | 単一IP、複数ポート、サブネット全体 |
| 狙う資源 | SYN backlog、FW状態表、CPU、PPS、帯域 |
1. 直送型SYNフラッド
直送型は、攻撃端末から標的へ直接SYNを送る方法です。
攻撃端末 ── 大量のSYN ──> 標的サーバー
送信元IPが固定されている場合は、比較的検知しやすい攻撃です。
特徴
単一または少数の送信元から届く
送信元IPが実在する場合がある
SYNに対してACKが戻らない
送信元別のレート制限が有効になりやすい
ただし、単純にIPを遮断すれば必ず解決するわけではありません。
攻撃元が多数存在する場合、正規利用者と同じNATやクラウド環境を共有している場合、IP単位の遮断は誤検知につながります。
MITRE ATT&CKでは、攻撃元から標的へ直接大量のネットワークパケットを送る攻撃をDirect Network Floodとして分類しています。TCPもこの攻撃に使用できます。
2. IP偽装型SYNフラッド
IP偽装型では、SYNパケットの送信元IPアドレスを書き換えます。