Como resultado, los usuarios legítimos dejan de tener acceso al servicio.
Cómo funciona un ataque SYN Flood
Para establecer una conexión TCP se utiliza un proceso de tres pasos:
- El cliente envía un SYN.
- El servidor responde con SYN-ACK.
- El cliente confirma la conexión mediante ACK.
Después de esto, la conexión se considera establecida.
Durante el ataque, el atacante envía al servidor una gran cantidad de solicitudes SYN, pero nunca completa las conexiones. Al recibir un SYN, el servidor reserva espacio para una nueva conexión y espera la confirmación ACK. La cola de sesiones TCP semiabiertasse llena y el servidor deja de aceptar conexiones de usuarios reales.
Los atacantes frecuentemente falsifican direcciones IP mediante spoofing para dificultar el filtrado y ocultar el origen del ataque. Este tipo de ataques hace uso activo de botnets, dispositivos IoT comprometidos y plataformas DDoS de alquiler.
Métodos de protección
Uno de los principales mecanismos de defensa son las SYN cookies. Esta tecnología permite al servidor evitar almacenar el estado de la conexión hasta recibir un ACK válido.
Adicionalmente se utilizan:
- limitación de frecuencia de solicitudes (rate limiting);
- firewall con seguimiento de estado (stateful firewall);
- sistemas anti-DDoS;
- filtrado de tráfico falsificado (spoofed traffic);
- análisis DPI de sesiones TCP.
En infraestructuras de gran escala, el SYN Flood generalmente se filtra a nivel del proveedor o de los routers de borde (edge routers).
Más información sobre cómo funcionan los ataques y cómo un operador de telecomunicaciones puede protegerse contra ellos en nuestro artículo Ataque SYN Flood: Responsabilidades y Protección Práctica.
