低レート型は、短時間に一気に送るのではなく、未完了接続が解放される速度を少し上回る量を継続して送る方法です。

攻撃成立の条件は、単純化すると次のように表せます。

新しい未完了接続の増加速度
        >
タイムアウトやRSTで解放される速度

RFC 4987も、SYNが瞬間的な集中ではなく継続的に到着する場合でも、新規SYNの速度が状態解放速度を上回れば攻撃が成立すると説明しています。

低レート型では、単純な「1秒あたりの急増」だけを監視すると見逃す可能性があります。

5. マルチベクター型SYNフラッド

現代のDDoSでは、SYNフラッドだけを単独で使うとは限りません。

次の攻撃を同時に組み合わせることがあります。

• TCP SYN flood

• TCP ACK flood

• TCP RST flood

• UDP flood

• DNS flood

• TLS handshake flood

• HTTP GET・POST flood

• キャッシュ回避型HTTP flood

L3/L4：回線・ルーター・FWを圧迫
   │
   ├─ SYN flood
   ├─ ACK flood
   └─ UDP flood
   │
   ▼
L7：Webサーバー・DB・アプリを圧迫
   ├─ TLS接続
   ├─ HTTPリクエスト
   └─ 重いAPI

下位層の攻撃が注意を引いている間に、アプリケーション層へ別の攻撃を行う場合もあります。

6. TCP SYN/ACK反射攻撃