Открыть сервис
Главная → Блог → SYN-флуд

SYN-флуд

SYN-флуд — это разновидность сетевой атаки типа «отказ в обслуживании» (DoS-атака), направленная на исчерпание ресурсов целевой системы путём отправки большого количества TCP-запросов с установленным флагом SYN (синхронизация) без завершения процедуры установления соединения. Атака использует уязвимость в протоколе TCP (Transmission Control Protocol), а именно в механизме трёхэтапного рукопожатия (three-way handshake).

Принцип действия

Протокол TCP обеспечивает надёжную передачу данных между узлами сети. Для установления соединения используется трёхэтапное рукопожатие:

  1. Клиент отправляет серверу пакет с флагом SYN (синхронизация).
  2. Сервер, получив SYN, выделяет ресурсы (память в буфере очереди) для нового соединения и отправляет клиенту пакет с флагами SYN и ACK (подтверждение).
  3. Клиент отправляет серверу пакет с флагом ACK, после чего соединение считается установленным.

При SYN-флуде атакующий отправляет на сервер множество SYN-пакетов, но на втором этапе (после получения SYN-ACK) не отправляет финальный ACK. В результате сервер, ожидая подтверждения, держит каждое такое «полуоткрытое» соединение в очереди (backlog queue) в течение определённого времени (тайм-аута, обычно от 30 до 120 секунд). Если количество таких полуоткрытых соединений превышает ёмкость очереди, сервер перестаёт принимать новые легитимные запросы, что приводит к отказу в обслуживании.

История

Впервые SYN-флуд как метод атаки был описан в 1996 году в работе «Project Neptune» исследователем по имени «Phantom». Уже в 1996 году была зафиксирована одна из первых крупных атак на провайдера Panix, которая вывела его из строя на несколько дней. В последующие годы SYN-флуд стал одним из самых распространённых видов DoS-атак, особенно в эпоху низкой пропускной способности каналов и слабых вычислительных мощностей серверов.

С развитием интернета и увеличением числа устройств (включая устройства Интернета вещей, IoT) SYN-флуд эволюционировал. В начале 2000-х годов появились распределённые атаки (DDoS), когда SYN-флуд генерировался одновременно с множества скомпрометированных хостов (ботнетов). В 2010-х годах мощность таких атак достигла терабит в секунду (например, атака на GitHub в 2018 году, где SYN-флуд был одним из компонентов).

Технические особенности

Типы SYN-флуда

  1. Прямой SYN-флуд: Атакующий использует реальный IP-адрес источника. Такой метод легко обнаруживается и блокируется, так как источник быстро вычисляется.
  2. SYN-флуд со спуфингом (spoofing) IP-адресов: Атакующий подменяет IP-адрес отправителя в каждом SYN-пакете. Это затрудняет идентификацию источника и фильтрацию трафика. Часто используются случайные IP-адреса или адреса несуществующих хостов. В ответ на SYN-ACK сервер отправляет пакеты на несуществующие адреса, которые никогда не ответят ACK, что приводит к зависанию соединения.
  3. SYN-флуд с использованием ботнета (DDoS): Атака ведётся одновременно с тысяч или миллионов заражённых устройств, каждое из которых отправляет SYN-пакеты. Это делает атаку практически неуязвимой для блокировки по одному источнику.

Размер пакета

Стандартный SYN-пакет имеет небольшой размер (около 40-60 байт, включая заголовки TCP/IP). Это позволяет атакующему при относительно низкой пропускной способности канала (например, 1 Мбит/с) генерировать тысячи запросов в секунду, что достаточно для переполнения очереди на многих серверах.

Методы защиты

На уровне операционной системы

  1. Увеличение размера очереди SYN (tcp_max_syn_backlog): Позволяет серверу обрабатывать большее количество полуоткрытых соединений. Однако это лишь временная мера, так как память конечна.
  2. Уменьшение тайм-аута ожидания ACK (tcp_synack_retries): Сокращает время, в течение которого сервер держит полуоткрытое соединение. Это ускоряет освобождение очереди, но может привести к сбоям у легитимных клиентов с медленным соединением.
  3. SYN Cookies: Один из самых эффективных методов. Сервер не выделяет ресурсы для соединения до получения финального ACK. Вместо этого он генерирует специальный cookie (криптографическую подпись) на основе IP-адреса, порта и других параметров, и отправляет его в SYN-ACK. При получении ACK сервер проверяет cookie и, если он корректен, выделяет ресурсы. Этот метод практически полностью устраняет уязвимость, но может снижать производительность при очень высоких нагрузках и несовместим с некоторыми расширениями TCP (например, TCP Window Scale).
  4. Фильтрация подозрительных адресов: Блокировка IP-адресов, с которых поступает аномально большое количество SYN-пакетов.

На сетевом уровне (оборудование и ПО)

  1. Брандмауэры (Firewalls): Современные межсетевые экраны могут анализировать трафик и блокировать SYN-пакеты с подозрительными признаками (например, с невалидными контрольными суммами или с IP-адресов из чёрных списков).
  2. Системы обнаружения и предотвращения вторжений (IDS/IPS): Анализируют сетевой трафик в реальном времени и автоматически блокируют аномальные потоки SYN-пакетов.
  3. Аппаратные балансировщики нагрузки и DDoS-защита: Специализированные устройства (например, от компаний Arbor Networks, Radware, Cloudflare) могут обрабатывать SYN-флуд на аппаратном уровне, используя методы SYN Proxy (прокси-сервер, который сам завершает трёхэтапное рукопожатие с клиентом и только после этого передаёт соединение реальному серверу).
  4. Фильтрация на уровне провайдера: Провайдеры могут блокировать трафик с поддельными IP-адресами (BCP 38 — фильтрация входящего трафика на границе сети).

Примеры реализации

Программные инструменты для тестирования

В целях тестирования безопасности собственных сетей используются специализированные инструменты, такие как hping3, nmap (с опциями), scapy (библиотека Python). Они позволяют генерировать SYN-пакеты с различными параметрами. Важно подчеркнуть, что использование этих инструментов против чужих систем без разрешения является незаконным и квалифицируется как компьютерное преступление.

Пример на Python с использованием Scapy

```python from scapy.all import * import random

def syn_flood(target_ip, target_port, count=1000): for i in range(count):

Генерация случайного IP-адреса источника

src_ip = f"{random.randint(1,255)}.{random.randint(1,255)}.{random.randint(1,255)}.{random.randint(1,255)}"

Создание IP-пакета

ip = IP(src=src_ip, dst=target_ip)

Создание TCP-пакета с флагом SYN

tcp = TCP(sport=random.randint(1024,65535), dport=target_port, flags="S")

Отправка пакета

send(ip/tcp, verbose=0) ```

Критика и правовые аспекты

SYN-флуд является незаконным действием в большинстве юрисдикций мира, включая Российскую Федерацию. В Уголовном кодексе РФ предусмотрена ответственность за неправомерный доступ к компьютерной информации (ст. 272 УК РФ) и создание, использование и распространение вредоносных программ (ст. 273 УК РФ). Атаки типа SYN-флуд, как правило, подпадают под эти статьи, особенно если они приводят к блокировке информационных ресурсов или причинению крупного ущерба.

С этической точки зрения SYN-флуд рассматривается как грубое нарушение принципов сетевого взаимодействия и добросовестного использования ресурсов. Он может нанести серьёзный экономический ущерб компаниям, нарушить работу критической инфраструктуры (банки, аэропорты, государственные порталы) и лишить пользователей доступа к важным услугам.

Источники

  • Стивенс, У. Р. TCP/IP. Иллюстрированное руководство. Том 1. Протоколы.
  • Таненбаум, Э. С. Компьютерные сети.
  • RFC 4987 — TCP SYN Flooding Attacks and Common Mitigations.
  • Материалы курсов по кибербезопасности (CISSP, CEH).
  • Уголовный кодекс Российской Федерации, статьи 272, 273.

BFOmetr — база данных и аналитика по компаниям России.

На главную BFOmetr →

Похожие материалы