誤解4：backlogを増やせば安全になる

backlog拡大は、短いアクセス集中や一時的な過負荷には役立つ場合があります。

しかし、攻撃者が送信量を増やせば再びあふれます。

さらに、正規の大量アクセスが原因であれば、アプリケーション、ワーカー数、ロードバランサー、DBなど別のボトルネックを調査する必要があります。

Linuxカーネル資料も、SYN Cookieを正規の高接続レートへ耐えるための機能として使うべきではないと明記しています。

誤解5：SYN backlogの枯渇で必ずOOMやカーネルパニックになる

SYN_RECV要求はメモリを消費しますが、Linuxでは上限管理、軽量なrequest socket、SYN Cookieなどの防御があります。

設定や実装に問題があればメモリ圧迫の一因にはなり得ます。しかし、SYN backlogが埋まったことから、直ちにOOM Killerやカーネルパニックが発生すると断定することはできません。

通常は先に次の症状が現れます。

• 新規接続の失敗

• 接続タイムアウト

• ListenDropsの増加

• SYN Cookieの発動

• CPUやsoftirqの上昇

• ファイアウォール状態表の枯渇

• 回線帯域の飽和

まとめ

TCP SYNフラッドは、TCPの3ウェイ・ハンドシェイクを途中で止め、未完了接続を大量に作る攻撃です。