しかし、現代の攻撃はサーバーのSYN backlogだけを狙うとは限りません。

ボットネット、IPスプーフィング、SYN/ACK反射、カーペット・ボミング、マルチベクター化によって、次の資源が同時に狙われます。

• 回線帯域

• パケット処理能力

• ルーター

• ファイアウォール

• ロードバランサー

• SYN backlog

• CPU

• アプリケーション

防御の中心は、次の多層構成です。

BCP 38・送信元検証
        │
        ▼
Anycast・CDN・スクラビング
        │
        ▼
ACL・レート制御・異常判定
        │
        ▼
SYN Proxy・SYN Cookie
        │
        ▼
OSキュー調整
        │
        ▼
アプリケーション監視

SYN Cookieだけで防ごうとせず、攻撃トラフィックを可能な限り上流で吸収することが重要です。

FAQ

Q1. SYNフラッドは現在でも多い攻撃ですか？

はい。

Cloudflareの2025年第1四半期レポートでは、SYNフラッドがネットワーク層で最も多く観測されたDDoSベクトルとされています。

Q2. Cloudflareの通常プロキシでSSHも守れますか？

一般的なWeb向けリバースプロキシは、主にHTTP・HTTPSを対象とします。

SSHや独自TCPサービスは、対応するL4プロキシ、トンネル、VPN、Magic Transit相当のサービスなどが必要です。