Como resultado, os usuários legítimos perdem o acesso ao serviço.
Como funciona um ataque SYN Flood
Para estabelecer uma conexão TCP, utiliza-se um processo de três etapas:
- O cliente envia um SYN.
- O servidor responde com SYN-ACK.
- O cliente confirma a conexão com ACK.
Após isso, a conexão é considerada estabelecida.
Durante o ataque, o invasor envia ao servidor uma grande quantidade de requisições SYN, mas nunca conclui as conexões. Ao receber um SYN, o servidor reserva espaço para uma nova conexão e aguarda a confirmação ACK. A fila de sessões TCP semiabertas se enche, e o servidor para de aceitar conexões de usuários reais.
Os atacantes frequentemente falsificam endereços IP por meio de spoofing para dificultar a filtragem e ocultar a origem do ataque. Esse tipo de ataque faz uso ativo de botnets, dispositivos IoT comprometidos e plataformas DDoS alugadas.
Métodos de proteção
Um dos principais mecanismos de defesa é o SYN cookies. Essa tecnologia permite que o servidor evite armazenar o estado da conexão até receber um ACK válido.
Também são utilizados:
- limitação de taxa de requisições (rate limiting);
- firewall com rastreamento de estado (stateful firewall);
- sistemas anti-DDoS;
- filtragem de tráfego falsificado (spoofed traffic);
- análise DPI de sessões TCP.
Em grandes infraestruturas, o SYN Flood geralmente é filtrado ainda no nível do provedor ou dos roteadores de borda (edge routers).
Saiba mais sobre como os ataques funcionam e como um operador de telecomunicações pode se proteger deles em nosso artigo Ataque SYN Flood: Divisão de Responsabilidades e Proteção Prática.
