常见DDoS攻击之SYN flood攻击

一、什么是SYN flood攻击

SYN Flood攻击是一种典型的DDoS攻击方式，它利用了TCP协议的三次握手机制。在正常情况下，TCP连接的建立需要经过三次握手：客户端发送SYN报文给服务器以初始化连接，服务器回应SYN-ACK报文，客户端再发送ACK报文以完成连接建立。然而，在SYN Flood攻击中，攻击者发送大量伪造源IP地址的SYN报文给目标服务器，服务器为这些半开放的连接分配资源并等待完成三次握手，但因为源地址是伪造的，服务器收不到预期的ACK报文，导致服务器CPU和内存资源被耗尽，无法处理正常用户的连接请求。

二、SYN flood攻击的危害体现在哪里？

1. 处理能力消耗：服务器需要处理每个接收到的SYN请求，并尝试建立TCP连接。当资源被大量半开放连接占用时，服务器的处理能力会下降，导致无法及时响应正常用户的请求。

2. 网络带宽压力：虽然SYN Flood主要消耗的是服务器的内存和处理能力，但同时也会对网络带宽造成压力，因为服务器需要发送大量的SYN-ACK响应包，以及在超时后重新发送SYN-ACK或关闭连接的操作。

3. 系统稳定性风险：如果服务器资源被耗尽，可能会导致系统崩溃或出现其他故障，影响服务的稳定性和可靠性。

4. 额外的电力和冷却成本：资源的大量消耗也可能导致服务器功耗增加，从而增加电力和冷却成本。

三、SYN flood防御主要有哪些技术手段？

1. SYN Cookies技术：这是一种在TCP服务器端对三次握手过程进行修改的方法，当服务器接收到TCP SYN包时，不分配专门的数据区，而是计算出一个cookie值，这个cookie值作为返回的SYN ACK包的初始序列号。当客户端返回ACK包时，服务器会验证这个cookie，如果验证通过，则建立连接。这种方法可以有效减轻服务器的内存压力，因为不需要为每个半打开的连接分配资源。SYN Cookies技术通过实现无状态的三次握手，有效防御SYN Flood攻击，但在计算cookie时有一定的运算量，可能会增加连接建立的延迟时间。"SYN Cookie的原理由D.J. Bernstain和Eric Schenk提出"。

2. Anti-DDoS系统：这种系统可以部署在网络入口处，在服务器之前处理SYN包，通过首包丢弃和源认证的方式，减少服务器代答的压力。Anti-DDoS系统通过拦截客户端发送的SYN包，代替服务器向客户端发送SYN-ACK包，如果客户端不应答，则认为该客户端为虚假源；如果客户端应答，则将其IP地址加入白名单，在一段时间内允许该源发送的所有SYN包通过，也不做代答。"Anti-DDoS系统会丢弃掉收到的第一个SYN报文。如果客户端重传了SYN报文，Anti-DDoS系统再对该报文进行源认证"。

3. 基于状态检测的防火墙：状态检测防火墙通过跟踪网络连接的过程，以流量为单位，确定连接是否可靠。它对每条流量的第一个报文（首包）进行规则检查，并将判断结果作为该条流量的状态记录进会话表项，后续属于同一数据流的数据包匹配缓存表后放行。这种方法可以有效地识别并阻断恶意流量，同时允许合法流量通过。

4. SDN中的检测与缓解模块：软件定义网络（SDN）提供了一种新的网络架构，可以更高效地管理和控制网络。在SDN中，可以部署检测和缓解SYN Flood攻击的模块，这些模块通过结合布谷鸟哈希方法和创新的白名单，提高了性能，减少了通过交换机的流量，并提高了检测精度。"本文提出了针对 SDN 中 SYN 泛洪攻击的检测和缓解模块"。

5. 黑名单和白名单机制：通过将不可信任的源IP地址加入黑名单，禁止其发出的报文通过；将信任的源IP地址加入白名单，允许其发出的报文通过。动态黑名单和白名单可以在防御过程中自动生成，并在必要时进行手动确认。

6. 过滤器配置：通过配置过滤器，对匹配特定特征的报文执行相应的操作，如丢弃或允许通过。Anti-DDoS设备提供了IP、TCP、UDP、HTTP、DNS、ICMP、SIP等类型的过滤器，以针对不同的攻击类型进行防御。

四、DDoS攻击防御解决方案（定制化）

拾域科技的DDoS防御，为您提供近1000G出口防护解决您面对大流量攻击的问题， 为您提供自主研发CC防护策略.针对攻击实时调用相应策略来应对正在进行的 CC 防攻， 已经应用在多个大型 CC 攻击用户中，体验效果好，误伤率可降为0。

4.1 产品优势

完全有效防御大流量DDOS攻击+定制CC攻击。

• 防DDOS攻击：为您提供近1000G出口防护解决您面对大流量攻击的问题。
• 防CC攻击：为您提供自主研发CC防护策略，针对攻击实时调用相应策略来应对正在进行的CC防攻，已经应用在多个大型CC攻击用户中，体验效果好，误伤率可降为0。

DDoS 防护为各行业提供针对性的防护解决方案，帮助用户抵御 DDoS攻击，保障业务连续性， 满足监管机构的合规性要求,包含:

• 硬件防火墙超千G防护；
• 网络应用层CC防护；
• 多个高防节点智能分流。

4.2 产品功能

DDoS高防是针对互联网服务器在遭受大流量DDoS攻击后导致服务不可用的情况下，推出的 付费增值服务，用户可以通过配置高防IP，将攻击流量引流到高防IP清洗，确保源站业务 稳定可靠。

精准流量清洗功能

支持T级攻击流量清洗功能，确保用户业务在遭受大流量DDoS攻击时仍然稳定可靠。

大流量防护功能

支持对SYN flood、ACK flood、UDP flood、ICMP flood、RST flood、FraggleAttack、Slowloris 、Application Attacks、Zero-day Attacks等攻击类型进行清洗。

CC防护功能

识别并阻断SQL注入、XSS跨站脚本攻击、CC攻击、恶意爬虫扫描、跨站请求伪造CSRF等攻击，保护Web服务安全稳定。

流量监控报表功能

从流量字节数和报文数两个维度展示正常流量和攻击流量的信息，支持查询最近30天的历史数据。

4.3 应用场景

网站类应用场景

针对Web系统面临的DDoS攻击，拥塞Web系统带宽、耗尽Web系统资源的CC攻击，DNS服务器被攻击等。

游戏类应用场景

针对TCP CC攻击有着丰富的防护经验，防御多种游戏类的DDoS攻击。

重大活动应用场景

Anti-CC、防刷单、防羊毛党保障您的活动促销安全，超大带宽、智能防黑保障您业务正常运行。