注意点・よくある誤解

誤解1：SYN Cookieを有効にすれば完全に防げる

SYN Cookieは、主にサーバー側の状態枯渇を軽減します。

次の問題は別に残ります。

• 回線帯域の枯渇

• NICのPPS限界

• CPUやsoftirqの高負荷

• ファイアウォールの状態表

• ロードバランサーの限界

• SYN-ACK送信帯域

• マルチベクター攻撃

誤解2：WAFでSYNフラッドを防げる

一般的なWAFはHTTPリクエストを解析するL7対策です。

SYNフラッドはHTTPリクエストが成立する前のTCP接続段階で発生します。

TCP SYN flood
   ↓
L3/L4 DDoS対策・SYN Proxyが担当

HTTP flood
   ↓
WAF・アプリケーション対策が担当

クラウド製品では、WAFとDDoS対策が統合されて見えることがあります。しかし、実際には異なる層の防御機能が処理しています。

誤解3：IPを永久BANすればよい

SYNフラッドでは、送信元IPが偽装されている可能性があります。

偽装された正規企業、クラウド、家庭回線のIPを永久BANすると、無関係な利用者を遮断します。

IPの信頼度情報は補助材料として使用し、次の情報と組み合わせます。

• TCPハンドシェイク完了率

• 攻撃継続時間

• 過去の観測

• ASN

• 接続先ポート

• パケットレート

• TCPフラグ

• CDNやプロキシ経由の有無

• スプーフィングの可能性