SYN Cookieが実際に送信されたか確認します。

実行場所

Linuxサーバー上です。

コマンド

nstat -az | grep -E 'Syncookies|ListenOverflows|ListenDrops'

環境によっては次も利用できます。

netstat -s | grep -i -E 'cookie|listen|overflow'

正常例

TcpExtSyncookiesSent 0
TcpExtSyncookiesRecv 0
TcpExtListenOverflows 0
TcpExtListenDrops 0

要調査例

TcpExtSyncookiesSent 152400
TcpExtListenOverflows 98400
TcpExtListenDrops 76000

判断方法

値は累積値である場合があります。

測定前後の差分を確認してください。

nstat -r
sleep 60
nstat -az | grep -E 'Syncookies|ListenOverflows|ListenDrops'

SyncookiesSentが増えていても、必ず攻撃とは限りません。正規アクセスの急増や、アプリケーション処理遅延でも発生する可能性があります。

5. パケットを短時間だけ確認する

目的

SYNだけが大量に到達しているか確認します。

注意事項