攻撃者
  │ 送信元IPを偽装したSYN
  ▼
標的サーバー
  │
  └─ SYN-ACKは偽装されたIPへ送信

攻撃者本人にはSYN-ACKが戻りません。

偽装先が応答しないIPアドレスであれば、標的はタイムアウトまで接続要求を保持しやすくなります。

一方、偽装先に実在する端末があり、その端末がRSTを返した場合、未完了状態が早く解放されることがあります。RFC 4987も、効果的な攻撃ではSYN-ACKへ応答しないアドレスを選ぶことが重要だと説明しています。

防御上の問題

• 送信元IPが毎回変化する

• IPブラックリストが機能しにくい

• 攻撃者の追跡が難しい

• SYN-ACKが外部へ大量送信される

• 送信元国やASNだけでは判定できない

3. 分散型SYNフラッド

分散型では、ボットネットなどの多数の端末が攻撃へ参加します。

ボット1 ─┐
ボット2 ─┤
ボット3 ─┼─> 標的
ボット4 ─┤
ボット5 ─┘

各端末の送信量を小さくしても、全体では非常に大きなPPSになります。

特徴

• 送信元が地理的に分散する

• 実在するIPアドレスから届く場合がある

• 1IPあたりのレートが低い

• IP単位のしきい値を回避しやすい

• 正規ユーザーとの区別が難しい

MITRE ATT&CKも、大規模ボットネットでは1台ごとの送信量が少なくても、全体として十分な攻撃量を生成できると説明しています。

4. 低レート分散型SYNフラッド