Living off the Landは、SYNフラッド攻撃の一種でもありません。本記事では、TCPやシステム機能の「通常の仕組みが攻撃へ転用される例」として取り上げています。

TCP SYNフラッドの技術的進化

第1段階：単一ホストからの状態枯渇

初期のSYNフラッドは、単一ホストから大量のSYNを送信し、サーバーの未完了接続キューを埋める攻撃でした。

SYNフラッドの弱点自体は1994年ごろには認識され、1996年にPhrackで説明と攻撃コードが公開されたことで広く知られるようになりました。RFC 4987は、1996年9月までに実際の攻撃が観測されていたと記録しています。

第2段階：IPスプーフィングによる追跡回避

攻撃者は送信元IPを偽装し、単純な送信元IP遮断を回避するようになりました。

これに対し、ネットワーク事業者側ではBCP 38として知られるingress filteringが推奨されました。

BCP 38は、ISPなどの集約点で送信元IPを検証し、そのネットワークから出てくるはずのない送信元アドレスを持つパケットを破棄する考え方です。

ただし、BCP 38がインターネット全体で完全に実施されているわけではありません。

第3段階：ボットネットによる分散化

マルウェアに感染したPC、サーバー、IoT機器を利用し、多数の実在IPから攻撃する方法が一般化しました。