SYN/ACK反射攻撃では、攻撃者が被害者のIPアドレスを送信元として偽装し、第三者のTCPサーバーへSYNを送ります。

攻撃者
  │ 送信元IP＝被害者
  │ SYN
  ▼
第三者TCPサーバー
  │
  │ SYN-ACK
  ▼
被害者

被害者には、多数の第三者サーバーからSYN-ACKが届きます。

「反射」と「増幅」を分けて考える

SYN/ACK反射は、第三者へ送信元を偽装して応答を被害者へ向けるため、反射攻撃です。

ただし、DNSやNTPの反射増幅攻撃とは性質が異なります。

DNSやNTPでは、小さな要求に対して大きな応答が返る場合があります。一方、TCP SYNとSYN-ACKのパケットサイズは通常大きく変わりません。

TCPで増幅が発生する主な理由は、第三者サーバーがSYN-ACKを再送することです。

したがって、次のように表現する方が正確です。

SYN/ACK反射では、応答サイズそのものより、複数の反射元とSYN-ACK再送によって攻撃量が増える。

MITRE ATT&CKでは、被害者IPを偽装して第三者サーバーから応答を返させる方法をReflection Amplificationとして整理しています。ただし、実際の増幅率はプロトコルや実装によって異なります。

7. カーペット・ボミング型SYNフラッド