SYN-Flood ist ein DDoS-Angriff gegen den TCP-Drei-Wege-Handshake. Der Angreifer sendet massenhaft SYN-Pakete mit gefälschter Quell-IP-Adresse und beantwortet die Antwortpakete des Servers nie — die Verbindungen bleiben dadurch halboffen (half-open) und belegen Platz in der Warteschlange des Servers.
So funktioniert der Angriff
Der TCP-Handshake beginnt mit einem SYN-Paket des Clients. Der Server reserviert daraufhin einen Eintrag in seiner SYN-Queue (Backlog) und antwortet mit SYN-ACK. Erst wenn der Client das abschließende ACK sendet, entsteht eine vollwertige Verbindung. Beim SYN-Flood fehlt genau dieses letzte ACK: Jedes gefälschte SYN-Paket belegt einen Queue-Eintrag, bis die Warteschlange voll ist. Danach kann der Server auch legitime Verbindungsanfragen nicht mehr annehmen — der Dienst ist für normale Nutzer nicht mehr erreichbar.
Gegenmaßnahmen
- SYN-Cookies: Der Server speichert keinen Verbindungszustand, sondern kodiert die Handshake-Daten in der Sequenznummer des SYN-ACK. Erst mit dem finalen ACK wird der Zustand aufgebaut.
- Backlog-Vergrößerung: Eine größere SYN-Queue verzögert den Erfolg des Angriffs.
- Rate-Limiting und Firewall-Regeln: Begrenzen SYN-Pakete pro Sekunde und filtern Pakete mit unglaubwürdigen Quell-IPs.
Verwandte Grundlagen: Slowloris und Ping-Flood sind weitere klassische DoS-Techniken, die oft aus Botnetzen heraus laufen.