SYN Proxyは、ファイアウォール、ロードバランサー、DDoS対策基盤などが、保護対象サーバーの代わりに3ウェイ・ハンドシェイクを処理する方式です。

クライアント
    │
    ▼
SYN Proxy
    │  接続元がACKを返すか確認
    │
    ├─ 未完了 → 破棄
    │
    └─ 完了
         │
         ▼
      オリジンサーバー

攻撃者がACKを返さなければ、オリジンサーバーには接続が到達しません。

AWS ShieldのTCP SYN Proxyは、SYN Cookieで新規接続を検証し、継続的なフルプロキシ状態を維持せずに接続状態をAWSサービスへ引き渡すステートレス構成と説明されています。

6. Anycastとスクラビング

Anycastでは、同じIPアドレスを複数の拠点から広告し、利用者や攻撃トラフィックを近い拠点へ分散させます。

攻撃元A ─> 東京エッジ
攻撃元B ─> 大阪エッジ
攻撃元C ─> シンガポールエッジ
攻撃元D ─> 米国エッジ

1拠点へ攻撃を集中させず、複数拠点の容量で吸収できます。

AWSは、CloudFrontがDNSトラフィック制御とAnycastルーティングを組み合わせ、攻撃元に近い場所で緩和すると説明しています。また、CloudFrontはオリジンへの持続接続を維持し、ShieldのSYN Proxyと統合してSYNフラッドを自動緩和します。

確認方法