1. SYN_RECV状態を確認する

目的

ハンドシェイクが完了していない接続要求が急増していないか確認します。

実行場所

対象のLinuxサーバー上で実行します。

コマンド

ss -Hant state syn-recv | wc -l

正常例

3

通常時の値が0～数件であれば、3件は異常とは限りません。

異常例

8452

通常時より大幅に多く、継続して増えている場合は調査が必要です。

判断方法

1回の値だけで攻撃と断定しません。

次の要素を合わせて確認します。

• 通常時のSYN_RECV数

• SYN受信PPS

• 接続成功数

• 応答時間

• パケットロス

• CPU使用率

• 同一ポートへの集中

• 送信元IPの分散度

2. SYN_RECVの送信元を確認する

目的

特定IPに集中しているか、広く分散しているか確認します。

実行場所

対象Linuxサーバー上です。

コマンド

ss -Hant state syn-recv \
  | awk '{print $5}' \
  | sed 's/:[^:]*$//' \
  | sort \
  | uniq -c \
  | sort -nr \
  | head

IPv6アドレスや環境によっては、IP抽出処理を調整してください。

正常例

4 203.0.113.10
2 198.51.100.20
1 192.0.2.15

異常例

5000 198.51.100.20
4300 203.0.113.50

判断方法