En conséquence, les utilisateurs légitimes perdent l’accès au service.
Comment fonctionne une attaque SYN Flood
L’établissement d’une connexion TCP repose sur un processus en trois étapes :
- Le client envoie un SYN.
- Le serveur répond par un SYN-ACK.
- Le client confirme la connexion par un ACK.
Une fois ces étapes franchies, la connexion est considérée comme établie.
Lors de l’attaque, l’attaquant envoie au serveur un grand nombre de requêtes SYN sans jamais finaliser les connexions. À la réception d’un SYN, le serveur réserve de l’espace pour une nouvelle connexion et attend la confirmation ACK. La file d’attente des sessions TCP semi-ouvertes se remplit, et le serveur cesse d’accepter les connexions des utilisateurs réels.
Les attaquants usurpent fréquemment des adresses IP par spoofing afin de compliquer le filtrage et de dissimuler l’origine de l’attaque. Ce type d’attaque fait largement appel aux botnets, aux appareils IoT compromis et aux plateformes DDoS louées.
Méthodes de protection
L’un des principaux mécanismes de défense est le SYN cookies. Cette technologie permet au serveur d’éviter de stocker l’état de la connexion jusqu’à la réception d’un ACK valide.
On utilise également :
- la limitation du débit de requêtes (rate limiting) ;
- un pare-feu à inspection d’état (stateful firewall) ;
- des systèmes anti-DDoS ;
- le filtrage du trafic falsifié (spoofed traffic) ;
- l’analyse DPI des sessions TCP.
Dans les grandes infrastructures, le SYN Flood est généralement filtré dès le niveau du fournisseur ou des routeurs en périphérie (edge routers).
Pour en savoir plus sur le fonctionnement des attaques et sur la manière dont un opérateur télécoms peut s’en protéger, consultez notre article Attaque SYN Flood : Répartition des responsabilités et protection pratique.
