SYNフラッド攻撃とSYN/ACKパケットの観測

TCPの3ウェイハンドシェイクと送信元IPアドレス偽装を組み合わせて、SYNフラッド攻撃時に観測されるパケットから攻撃対象を判断します。

■ 試験で押さえるポイント

• SYNフラッド攻撃 攻撃者が標的サーバへ大量のSYNパケットを送り、サーバにSYN/ACKを返させたまま最後のACKを返さないことで、ハーフオープン状態の接続情報を大量に保持させ、接続待ち資源を枯渇させるDoS攻撃です。

• 送信元IPアドレスには未使用アドレスなどを偽装することがあります。

• 観測パケットから攻撃対象を判断する 送信元IPアドレスがA、送信元ポートが80/tcp、宛先が未使用IPアドレスであるSYN/ACKを大量に観測した場合、Aは偽装SYNを受けて応答しているサーバです。

• したがってAがSYNフラッドの攻撃対象であり、Aが攻撃元とは判断しません。

• SYNは接続要求、SYN/ACKはサーバ側の応答、ACKで接続が確立する。

• 未使用IPアドレス宛てのSYN/ACKは、送信元を未使用IPに偽装したSYNへの応答と推定できる。

• 主な緩和策にはSYN Cookie、接続待ちタイムアウトの短縮、レート制限がある。