简述SYN Flooding攻击的原理及防御措施。
简答题
简述SYN Flooding攻击的原理及防御措施。
答案：SYN Flooding攻击利用TCP三次握手协议，攻击者发送大量伪造源IP的SYN请求，服务器响应SYN-ACK后等待ACK，导致大量半连接，耗尽服务器资源，无法提供正常服务。防御措施包括：限制SYN请求速率、使用SYN Cookie、增大半连接队列、过滤可疑IP等。
解析
参考答案
- 原理：利用 TCP 三次握手，伪造大量源 IP 发送 SYN，服务器回 SYN-ACK 后收不到 ACK，形成半连接，耗尽连接队列和内存。
- 防御：限制 SYN 速率；启用 SYN Cookie；增大半连接队列；过滤可疑 IP 或异常流量。
得分点解析
- 原理：半连接与资源耗尽点明攻击本质，是理解防御的前提。
- 限制速率：降低单位时间 SYN 数量，抑制洪泛强度。
- SYN Cookie：不立即分配资源，把状态编码进序列号，避免队列被占满。
- 增大队列：提高短时容忍度，但只是缓解，不能根治。
- 过滤可疑 IP：从源头减少伪造流量，常部署在边界路由器或清洗设备。
延伸
可结合 TCP 代理、首包丢弃、Anycast、流量清洗和 IP 溯源。实际防御通常是多层组合。