Was ist ein SYN-Flood-Angriff?
Eine SYN-Flood-Attacke, auch als TCP-SYN-Flood bezeichnet, ist eine Form des Denial-of-Service-Angriffs (DoS) bzw. Distributed-Denial-of-Service-Angriffs (DDoS), bei der eine enorme Anzahl von SYN-Anfragen an einen Server gesendet wird, um ihn mit offenen Verbindungen zu überlasten.
Was ist eine SYN-Flood?
Ein SYN-Flood, auch als Half-Open-Angriff bezeichnet, ist ein Angriff auf Netzwerkebene, bei dem ein Server mit Verbindungsanfragen überflutet wird, ohne dass auf die entsprechenden Bestätigungen reagiert wird. Die daraus resultierende große Anzahl offener TCP-Verbindungen beansprucht die Ressourcen des Servers und verdrängt dadurch den legitimen Datenverkehr. Dies verhindert den Aufbau neuer legitimer Verbindungen und erschwert oder verhindert den ordnungsgemäßen Betrieb des Servers für bereits verbundene autorisierte Benutzer.
Warum ist die Abwehr von SYN-Flood-Angriffen wichtig?
Praktisch jedes Unternehmen mit einer öffentlich zugänglichen Website ist für diese Art von Angriff anfällig. Wird eine SYN-Flood nicht schnell erkannt und abgewehrt, kann sie einen Server innerhalb kürzester Zeit überlasten, seine Reaktionszeiten drastisch verlangsamen und weitere Verbindungen verhindern. Dadurch wird der Server faktisch außer Betrieb gesetzt, sodass legitime Benutzer keinen Zugriff mehr auf Dienste, Anwendungen und Daten haben und auch kein E-Commerce mehr möglich ist. Mögliche Folgen sind die Beeinträchtigung der Geschäftskontinuität, Störungen kritischer Infrastrukturen, Umsatzeinbußen oder Reputationsschäden. Für manche Organisationen, etwa im Gesundheitswesen, kann der fehlende Zugriff auf Daten sogar lebensbedrohliche Folgen haben.
Untersuchungen von F5 Labs zufolge gehören SYN-Floods jedes Jahr zu den häufigsten Arten volumetrischer DoS-Angriffe. Sie können in Kombination mit anderen Angriffsarten oder als Ablenkungsmanöver für diese eingesetzt werden, darunter Ransomware-Angriffe oder Versuche, Daten zu stehlen oder Schadsoftware einzuschleusen.
Wie funktioniert SYN-Flooding?
Jede Kommunikation zwischen Client und Server beginnt mit einem standardisierten Drei-Wege-Handshake. Der Client sendet ein SYN-Paket, der Server antwortet mit einem SYN-ACK, und die TCP-Verbindung wird hergestellt. Bei einem SYN-Flood-Angriff sendet der Client eine überwältigende Anzahl von SYN-Anfragen und reagiert absichtlich nicht auf die SYN-ACK-Nachrichten des Servers.
Dadurch verbleiben auf dem Server offene Verbindungen, die auf weitere Kommunikation vom Client warten. Jede dieser Verbindungen wird in der TCP-Verbindungstabelle des Servers erfasst, bis die Tabelle schließlich voll ist und keine weiteren Verbindungsversuche mehr zulässt – unabhängig von deren Quelle. Dies führt zu Unterbrechungen des Geschäftsbetriebs und verhindert den Zugriff auf Daten.
SYN-Floods werden häufig von Bots ausgeführt, die Verbindungen über gefälschte IP-Adressen herstellen, um die Identifizierung und Abwehr des Angriffs zu erschweren. Botnetze können SYN-Floods als Distributed-Denial-of-Service-Angriffe (DDoS-Angriffe) starten.
Wie schützt F5 vor SYN-Flood-Angriffen?
F5 DDoS-Schutzlösungen tragen dazu bei, dass Angriffe auf das Netzwerk Ihre Server- und Anwendungsebenen nicht beeinträchtigen oder – schlimmer noch – lahmlegen und dadurch Ihre Kunden abweisen. Unsere Lösungen können einen möglichen SYN-Flood-Angriff erkennen und Abwehrmaßnahmen ergreifen, um die Verbindungstabelle zu schützen und gleichzeitig legitimen Verbindungen den Zugriff auf das geschützte Netzwerk zu ermöglichen. Bei dieser Art der Abwehr werden die SYN-Anfragen des Angreifers beantwortet, sodass dieser glaubt, der Angriff sei erfolgreich. Die Verbindungstabelle erreicht jedoch nie ihre Kapazitätsgrenze, da nur gültige Verbindungsanfragen Plätze in der Verbindungstabelle belegen.