この段階では、送信元IP詐称を使わなくても大規模な攻撃が可能です。

防御側は、次の課題に直面します。

• 送信元IPが正規の端末に見える

• 国や地域が分散している

• 各IPの送信量が少ない

• 単純なIPレート制限では止めにくい

• 誤検知で正規ユーザーを遮断しやすい

第4段階：回線とPPSを狙う大規模攻撃

OSのSYN Cookieが普及すると、サーバーのSYN backlogだけを狙う攻撃は効きにくくなりました。

そこで攻撃対象は、より手前の資源へ広がりました。

Internet
   │
   ▼
上流回線         ← 帯域枯渇
   │
   ▼
エッジルーター   ← PPS・ルート処理
   │
   ▼
ファイアウォール ← セッション表・CPU
   │
   ▼
ロードバランサー ← 接続処理
   │
   ▼
サーバー         ← SYN backlog・CPU

RFC 4987も、高PPSによってネットワーク処理能力や回線容量を狙う攻撃は、ホストのTCP実装だけを狙う古典的SYNフラッドとは分けて考える必要があるとしています。

第5段階：エッジ分散と超高速データプレーン防御

現代の防御では、攻撃パケットをアプリケーションやOSの通常ネットワークスタックまで到達させない設計が重視されます。

代表例は次のとおりです。