SYN Flood攻击防范技术

1 概述1.1 产生背景SYN Flood攻击是一种通过向目标服务器发送SYN报文，消耗其系统资源，削弱目标服务器的服务提供能力的行为。

一般情况下，SYN Flood攻击是在采用IP源地址欺骗行为的基础上，利用TCP连接建立时的三次握手过程形成的。

众所周知，一个TCP连接的建立需要双方进行三次握手，只有当三次握手都顺利完成之后，一个TCP连接才能成功建立。

当一个系统（称为客户端）请求与另一个提供服务的系统（称为服务器）建立一个TCP连接时，双方要进行以下消息交互：(1) 客户端向服务器发送一个SYN消息；(2) 如果服务器同意建立连接，则响应客户端一个对SYN消息的回应消息（SYN/ACK）；(3) 客户端收到服务器的SYN/ACK以后，再向服务器发送一个ACK消息进行确认。

当服务器收到客户端的ACK消息以后，一个TCP的连接成功完成。

连接的建立过程如图1所示：图1 TCP连接的建立在上述过程中，当服务器收到SYN报文后，在发送SYN/ACK回应客户端之前，需要分配一个数据区记录这个未完成的TCP连接，这个数据区通常称为TCB资源，此时的TCP连接也称为半开连接。

这种半开连接仅在收到客户端响应报文或连接超时后才断开，而客户端在收到SYN/ACK报文之后才会分配TCB资源，因此这种不对称的资源分配模式会被攻击者所利用形成SYN Flood攻击。

图2 SYN Flood攻击原理图如图2所示，攻击者使用一个并不存在的源IP地址向目标服务器发起连接，该服务器回应SYN/ACK消息作为响应，由于应答消息的目的地址并不是攻击者的实际地址，所以这个地址将无法对服务器进行响应。

因此，TCP握手的最后一个步骤将永远不可能发生，该连接就一直处于半开状态直到连接超时后被删除。

如果攻击者用快于服务器TCP连接超时的速度，连续对目标服务器开放的端口发送SYN报文，服务器的所有TCB资源都将被消耗，以至于不能再接受其他客户端的正常连接请求。

为保证服务器能够正常提供基于TCP协议的业务，防火墙必须能够利用有效的技术瓦解以及主动防御SYN Flood攻击。

1.2 技术优点H3C在SYN Flood 攻击防范技术的实现上具有以下四个方面的特色。

1. 支持基于安全区域的配置方式H3C实现的SYN Flood攻击防范支持基于安全区域的配置方式，所有攻击检测策略均配置在安全区域上，配置简洁又不失灵活性，既降低网络管理员配置负担，又能满足复杂组网情况下针对安全区域实施不同攻击防范策略的要求。

2. 提供丰富的告警日志信息H3C实现的SYN Flood攻击防范功能可提供丰富的告警日志信息，可以与第三方软件配合使用，其日志和审计功能不仅能够针对攻击进行实时监测，还能对攻击的历史日志进行方便的查询和统计分析，便于对攻击事件进行有效的跟踪和追查。

3. 精确阻断攻击流量H3C实现的SYN Flood攻击防范功能采用基于行为模式的异常检测算法对目标服务器的网络流量进行检测，通过实时跟踪TCP服务器连接的状态机协商过程，能够有效区分攻击流量和正常流量，从而精确阻断攻击流量。

4. 提供灵活的防范措施针对SYN Flood攻击，H3C防火墙提供了灵活的防范措施，可根据用户的实际需要，选择对攻击行为进行日志输出、报文丢弃、启用SYN Cookie防护功能、启用Safe Reset防护功能、通知服务器释放无效半开连接等防范动作。

2 技术实现在Internet上，公共服务器是SYN Flood攻击实施的主要对象。

Internet上任何客户端向某个特定的公共服务器发起访问时，其目的IP地址必定是公共服务器对外公开的IP地址。

H3C防火墙通过攻击检测技术，统计和分析向公共服务器发起的所有连接的行为特征，来检测和识别攻击报文。

在检测到针对服务器的SYN Flood攻击行为后，H3C防火墙可以支持选择多种应对攻击的防范措施，主要包括两大类：●∙∙∙∙∙∙∙∙∙∙∙∙∙ 连接限制技术：采用SYN Flood攻击防范检测技术，对网络中的新建TCP半开连接数和新建TCP连接速率进行实时检测，通过设置检测阈值来有效地发现攻击流量，然后通过阻断新建连接或释放无效连接来抵御SYN Flood攻击。

●∙∙∙∙∙∙∙∙∙∙∙∙∙ 连接代理技术：采用SYN Cookie或Safe Reset技术对网络中的TCP连接进行代理，通过精确的验证来准确的发现攻击报文，实现为服务器过滤掉恶意连接报文的同时保证常规业务的正常运行。

连接代理技术除了可以对已检测到攻击的服务器进行代理防范，也可以对可能的攻击对象事先配置，做到全部流量代理，而非攻击发生后再代理，这样可以避免攻击报文已经造成一定损失。

2.1 SYN Flood攻击检测技术根据统计对象的不同特征，SYN Flood攻击检测可分为两种类型：半开连接数检测、新建连接速率检测。

2.1.1 半开连接数检测1. 原理介绍当恶意客户端向目标服务器发起SYN Flood 攻击时，如果恶意客户端采用了仿冒的源IP，那么在目标服务器上会存在大量半开连接。

这类半开连接与正常的半开连接的区别在于，正常半开连接会随着客户端和服务器端握手报文的交互完成而转变成全连接，而仿冒源IP的半开连接永远不会完成握手报文的交互。

为有效区分仿冒半开连接和正常半开连接，防火墙就需要实时记录所有客户端向服务器发起的所有半开连接数和完成了握手交互且转变为全连接的半开连接数，二者之差（即未完成的半连接数）在服务器未受到攻击时会保持在一个相对恒定的范围内。

如果未完成的半连接数突然增多，甚至接近服务器的资源分配上限时就可以怀疑此时服务器正受到异常流量的攻击。

图3 半开连接数检测示意图如图3所示，管理员可以根据被保护服务器的处理能力设置半开连接数阈值。

如果服务器无法处理客户端所有连接请求，就会导致未完成的半开连接数（即客户端向服务器发起的所有半开连接数和完成了握手交互变成全连接的半开连接数之差）超过指定阈值，此时防火墙可以判定服务器正在遭受SYN Flood 攻击。

2. 应用限制半开连接数统计要求防火墙能够记录客户端到服务器端的所有连接状态。

即，客户端和服务器端的报文都需要经过防火墙处理。

因此，基于半开连接数的统计检测需要防火墙部署在所保护的服务器出口和入口的关键路径上。

2.1.2 新建连接速率检测1. 原理介绍当恶意客户端向目标服务器发起SYN Flood攻击时，不管恶意客户端采用仿冒源IP手段还是使用真实的客户端，其呈现的结果就是发往服务器的报文会在短时间内大量增加。

恶意客户端发向服务器的报文中，一部分是新建连接的报文，一部分是已建立连接的后续数据报文。

H3C防火墙通过记录每秒新建连接的数量，并与设定的阈值进行比较来判断向目标服务器发起SYN Flood攻击行为是否发生，若达到或超过，则认为攻击行为发生。

图4 新建连接速率检测示意图如图4所示，在对被保护服务器进行监测时，防火墙在一秒的时间间隔内统计客户端向服务器发起的新建连接请求数量，作为当前的新建请求速率。

当新建连接请求速率超过指定阈值时，防火墙设备可以认为服务器可能遭受了SYN Flood攻击。

2. 应用限制新建连接数统计要求防火墙能够记录客户端到服务器端的所有新建连接个数。

即，客户端发往服务器端的报文必须要经过防火墙处理。

因此，基于新建连接数的统计检测需要防火墙部署在所保护的服务器入口的关键路径上。

2.2 SYN Flood攻击防范技术H3C防火墙可以支持选择多种应对攻击的防范措施，主要包括以下四种技术：●∙∙∙∙∙∙∙∙∙∙∙∙∙ 阻断新建连接——通过随时阻断服务器处理能力之外的新建连接来减轻服务器的被攻击程度。

●∙∙∙∙∙∙∙∙∙∙∙∙∙ 释放无效连接——通过在攻击发生后通知服务器释放无效连接来协助服务器及时恢复服务能力。

●∙∙∙∙∙∙∙∙∙∙∙∙∙ SYN Cookie和Safe Reset——通过验证发起连接的客户端的合法性，使服务器免受SYN Flood攻击。

这两种技术适用于不同的组网需求。

2.2.1 阻断新建连接1. 原理介绍实际上，最简单的防范方法就是暂时阻止任何客户端向服务器发起的新建连接请求。

阻断新建连接的时机是由SYN Flood攻击检测发现攻击决定的，只要防火墙发现连接数阈值（半开连接数阈值、新建连接数阈值）被超过时，就开始阻断新建连接来防范攻击行为。

关于SYN Flood攻击检测技术的详细介绍请参见“2.1 SYN Flood攻击检测技术”。

下面是分别通过两种检测技术发现攻击后的连接阻断处理过程。

●∙∙∙∙∙∙∙∙∙∙∙∙∙ 半开连接数限制如图5所示，防火墙检测到客户端与服务器之间的当前半开连接数目超过半开连接数阈值时，所有后续的新建连接请求报文都会被丢弃，直到服务器完成当前的半开连接处理，或当前的半开连接数降低到安全阈值时，防火墙才会放开限制，重新允许客户端向服务器发起新建连接请求。

图5 半开连接数限制示意图新建连接数限制如图6所示，防火墙对新建连接报文的速率进行统计，只允许新建连接速率不超过阈值情况下的新建连接报文通过，超过阈值之后的新建连接报文都被丢弃。

直到每秒客户端向服务器发起的连接请求降低到安全阈值以下时，防火墙才会放开限制，重新允许客户端向服务器发起新建连接请求。

图6 新建连接速率限制示意图2. 应用限制阻断新建连接功能为防火墙检测到SYN Flood攻击后的基本处理手段。

在服务器受到SYN Flood攻击时，防火墙能在服务器处理新建连接报文之前将其阻断，削弱了网络攻击对服务器的影响，但无法在服务器被攻击时有效提升服务器的服务能力。

因此，该功能一般用于配合防火墙SYN Flood攻击检测，避免瞬间高强度攻击使服务器系统崩溃。

2.2.2 释放无效连接1. 原理介绍正如2.1.1 半开连接数检测中所描述，当服务器上的半开连接过多时，其正在处理的半开连接中可能存在恶意客户端仿冒源IP发起的无效连接。

为了不让仿冒源IP发起的无效连接占用服务器的资源，防火墙需要在所有半开连接中识别出无效连接，通知服务器释放这这些无效连接。

防火墙通过模拟无效连接的五元组信息（源IP地址、目的IP地址、源端口号、目的端口号、协议类型），向服务器发送RST报文（连接重置报文）通知服务器释放无效连接。

2. 应用限制释放无效连接功能是一种防火墙检测到攻击后的基本处理手段，在服务器受到SYN Flood 攻击的情况下，能够通知服务器释放被恶意攻击报文占用的资源，使服务器得以恢复正常服务。

在服务器受到SYN Flood攻击时，此功能主要用于加速被攻击服务器的恢复速度，却无法阻止恶意客户端继续攻击服务器。

因此，该功能一般用于配合防火墙SYN Flood检测，在攻击发生后减轻已发生的攻击对服务器的影响。