SYN Flood的攻击原理及防御

SYN Flood的攻击原理

TCP 协议是一个可靠的、面向连接的流协议，由于 TCP 协议是建立在 IP 协议这种面向无连接的协议，所以 TCP 协议必须自己来维护连接的状态

TCP的三次握手过程

建立连接三次握手过程如下：

客户端需要发送一个 SYN包 给服务端（包含了客户端初始化序列号），并且将连接的状态设置为 SYN_SENT，这个过程由 connect() 系统调用完成。
服务端接收到客户端发送过来的 SYN包 后，回复一个 SYN+ACK包 给客户端（包含了服务端初始化序列号），并且设置连接的状态为 SYN_RCVD。
客户端接收到服务端发送过来的 SYN+ACK包 后，设置连接状态为 ESTABLISHED（表示连接已经建立），并且回复一个 ACK包 给服务端。
服务端接收到客户端发送过来的 ACK包 后，将连接状态设置为 ESTABLISHED（表示连接已经建立）。

SYN Flood的攻击原理

在第一次握手时，如果客户端向服务端发完请求之后，就不再发挥作用

A（攻击者）发送TCP SYN，SYN是TCP三次握手中的第一个数据包，而当这个服务器返回ACK以后，A不再进行确认，那这个连接就处在了一个半连接的状态，那么服务器收不到再确认的一个消息，还会重复发送ACK给A。这样一来就会更加浪费服务器的资源。A就对服务器发送非法大量的这种TCP连接，由于每一个都没法完成握手的机制，所以它就会消耗服务器的内存最后可能导致服务器死机，就无法正常工作了。更进一步说，如果这些半连接的握手请求是恶意程序发出，并且持续不断，那么就会导致服务端较长时间内丧失服务功能——这样就形成了DoS攻击。这种攻击方式就称为SYN Flood攻击

SYN攻击的防御手段

SYN Flood攻击是一种典型的DDoS（分布式拒绝服务）攻击方式，攻击者通过向目标服务器发送大量伪造的TCP SYN包，使得服务器资源被耗尽，无法处理正常的连接请求。以下是一些防御SYN Flood攻击的手段：

1. 增加SYN队列长度

   • 原理：当服务器收到客户端的SYN请求时，会将该请求放入SYN队列。通过适当增加SYN队列的长度，可以容纳更多的连接请求，在一定程度上缓解SYN Flood攻击带来的影响。
   • 缺点：这种方法只是一种简单的缓解措施。如果攻击流量过大，SYN队列最终还是会被填满，导致正常请求被丢弃。

2. SYN Cookie技术

   • 原理：服务器在收到SYN请求时，不再为其分配完整的连接资源，而是根据一定的算法（如根据源IP、源端口、目标IP、目标端口以及一个秘密数值等信息计算出一个Cookie值），构造并返回一个带有SYN + ACK的数据包。这个Cookie值就像是一个“信物”，当客户端返回ACK确认包时，服务器可以通过验证这个Cookie值来判断该连接请求是否合法。如果合法，才会为其分配资源建立连接。
   • 优点：这种方式不需要维护庞大的半连接队列，能有效防御SYN Flood攻击，并且可以节省服务器资源。

3. 源IP验证

   • 原理：可以通过检查数据包的源IP地址来防御攻击。例如，使用反向路径转发（RPF）技术，路由器会检查收到数据包的源IP地址，根据路由表判断这个数据包是否是从正确的接口转发过来的。如果不是，就丢弃该数据包。
   • 延伸内容：还可以采用基于信誉的源IP验证方法。一些安全厂商会维护一个IP信誉库，记录那些经常被用于攻击的IP地址。当收到来自这些低信誉IP的连接请求时，可以直接进行拦截。

4. 防火墙和入侵检测/预防系统（IDS/IPS）

   • 原理：防火墙可以设置规则来限制进入服务器的SYN流量。例如，限制单位时间内来自同一IP地址的SYN请求数量。IDS/IPS系统则能够实时监测网络流量，通过分析流量模式、数据包特征等方式识别SYN Flood攻击，并采取相应的防御措施，如自动阻断攻击源IP或者调整防火墙规则。
   • 延伸内容：现在一些高级的IDS/IPS系统利用机器学习和行为分析技术，能够更精准地识别复杂的攻击模式。它们可以学习正常网络连接的行为模式，当出现异常的SYN流量（如流量突然激增、不符合正常连接的时间序列等情况）时发出警报并采取行动。

5. 负载均衡技术

   • 原理：通过负载均衡器将流量分散到多个服务器上。当遭受SYN Flood攻击时，负载均衡器可以检测到异常流量，并将其分配到不同的服务器上，避免单一服务器因遭受攻击而瘫痪。同时，一些负载均衡器还具备流量清洗功能，能够识别并过滤掉恶意的SYN Flood流量。
   • 延伸内容：负载均衡器可以采用多种调度算法，如轮询、加权轮询、最少连接数等。在防御SYN Flood攻击场景下，最少连接数算法可能比较有用，它会将新的连接请求分配到当前连接数最少的服务器上，这样可以避免已经遭受攻击的服务器被过度分配新的连接请求。