SYN Flooding Attack

TCP接続が3ウェイハンドシェイク方式であることを悪用した攻撃。

TCPでは、サーバー側はクライアントからの確認応答を受け取るまで接続を確立しない。

1. クライアントがサーバーにSYNを送る
2. サーバーがクライアントにSYN+ACKを送る
3. クライアントがサーバーにACKを送る (ここで接続が確立)

SYN+ACKを送ったサーバーはクライアントからACKが来るのを待つ。この状態をハーフオープン(接続を半分確立した状態)という。

接続を半分確立した状態でも、確認応答待機のためのメモリーを消費する。メモリーの量には限度があるものの、クライアントからの確認応答を受け取るか、規定のタイムアウト時間まではメモリーを解放できない。

この状態を同時に大量発生させると、やがてメモリーがいっぱいとなり、他の接続要求を受け付けられなくなる。これを人為的に行なう攻撃がSYN Flooding Attackである。

TCPの接続方式を変更することはできないため、抜本的な解決方法は今のところ存在しない。

消極的な対策としては、同じIPアドレスから連続したSYN要求が送信されても接続を拒否するなどの方法がある。