申論題

TCP SYN Flood 攻擊的原理

TCP SYN Flood 是一種拒絕服務（DoS）攻擊，攻擊者利用 TCP 協議的三次握手機制，向目標伺服器發送大量的 SYN 請求，從而消耗其資源，導致合法用戶無法訪問服務。以下是 TCP SYN Flood 攻擊的詳細原理：

TCP 三次握手機制

在了解 TCP SYN Flood 攻擊前，必須先了解 TCP 連接的三次握手（Three-Way Handshake）過程：

1. SYN：客戶端向伺服器發送一個 SYN（同步序列號）請求，以開始連接。
2. SYN-ACK：伺服器收到 SYN 請求後，回應一個 SYN-ACK（同步應答）請求，表示準備好接受連接。
3. ACK：客戶端收到 SYN-ACK 後，回應一個 ACK（應答）訊息，連接正式建立。

TCP SYN Flood 攻擊的步驟

1. 發送大量 SYN 請求：

   • 攻擊者向目標伺服器發送大量偽造的 SYN 請求，每個請求使用不同的源 IP 地址。

2. 伺服器回應 SYN-ACK：

   • 伺服器對每個 SYN 請求回應 SYN-ACK，並等待客戶端的 ACK 回應。

3. 不回應 ACK：

   • 由於這些 SYN 請求是偽造的，攻擊者並不會回應 ACK，導致伺服器持續等待 ACK 回應。

4. 資源耗盡：

   • 伺服器保持這些未完成的連接，消耗其連接表（connection table）和內存資源。最終，伺服器可能無法處理新的連接請求，導致合法用戶無法連接。

攻擊影響

• 資源消耗：伺服器的連接表和內存被耗盡，無法處理新的連接。
• 服務中斷：合法用戶的連接請求被拒絕，導致服務不可用。

防禦措施

1. SYN Cookies：

   • 伺服器在收到 SYN 請求時，不分配資源，而是生成一個特定的 SYN cookie 作為回應。只有在收到正確的 ACK 時，才分配資源。

2. 半開連接（Half-Open Connection）限制：

   • 設置伺服器能夠處理的半開連接數量上限，超過該數量後的新請求將被丟棄。

3. 防火牆和過濾：

   • 使用防火牆和網絡過濾技術過濾和阻止可疑的 SYN 請求。

4. 資源擴展：

   • 增加伺服器資源（如內存和處理能力）來應對大量請求。

5. 流量分析和監控：

   • 持續監控網絡流量，分析並識別潛在的攻擊，及時採取應對措施。