Qu’est-ce qu’une attaque par inondation SYN ?

Une attaque SYN flood, également appelée TCP SYN flood, est un type d’attaque par déni de service (DoS) ou par déni de service distribué (DDoS) qui consiste à envoyer un très grand nombre de requêtes SYN à un serveur afin de le submerger de connexions ouvertes.

Qu’est-ce qu’une attaque SYN flood ?

Une attaque par inondation SYN, parfois appelée attaque semi-ouverte, est une attaque au niveau réseau qui submerge un serveur de demandes de connexion sans répondre aux accusés de réception correspondants. Le grand nombre de connexions TCP ouvertes qui en résulte accapare les ressources du serveur et évince ainsi le trafic légitime, ce qui empêche l’établissement de nouvelles connexions légitimes et rend difficile, voire impossible, le bon fonctionnement du serveur pour les utilisateurs autorisés déjà connectés.

Pourquoi est-il important de se protéger contre les attaques SYN flood ?

Pratiquement toutes les organisations disposant d’un site web accessible au public sont vulnérables à ce type d’attaque. Si une attaque par inondation SYN n’est pas rapidement détectée et contrée, elle peut vite submerger un serveur, ralentir considérablement ses réponses et empêcher toute autre connexion. Le serveur devient alors de fait indisponible, privant les utilisateurs légitimes de service et d’accès aux applications et aux données, ou empêchant les activités de commerce électronique. Les conséquences peuvent inclure une perte de continuité des activités, une perturbation des infrastructures critiques, un manque à gagner ou une atteinte à la réputation. Pour certaines organisations, notamment dans le secteur de la santé, la perte d’accès aux données peut avoir des conséquences mortelles.

Les recherches de F5 Labs indiquent que les attaques par inondation SYN figurent chaque année parmi les types d’attaques DoS volumétriques les plus courants. Elles peuvent être utilisées conjointement avec d’autres types d’attaques ou servir d’écran de fumée pour les dissimuler, notamment les attaques par rançongiciel ou les tentatives de vol de données ou d’implantation de logiciels malveillants.

Comment fonctionne une attaque par inondation SYN ?

Toute communication entre un client et un serveur commence par une procédure standard de connexion en trois étapes. Le client envoie un paquet SYN, le serveur répond par un paquet SYN-ACK, puis la connexion TCP est établie. Lors d’une attaque par inondation SYN, le client envoie un nombre massif de requêtes SYN et omet délibérément de répondre aux messages SYN-ACK du serveur.

Le serveur conserve alors des connexions ouvertes dans l’attente de nouvelles communications du client. Chacune d’elles est répertoriée dans la table des connexions TCP du serveur, qui finit par être saturée, bloquant ainsi toute nouvelle tentative de connexion, quelle qu’en soit la source. Il en résulte une interruption de l’activité et une perte d’accès aux données.

Les attaques par inondation SYN sont souvent menées par des bots qui se connectent à partir d’adresses IP usurpées afin de rendre l’attaque plus difficile à identifier et à contrer. Les botnets peuvent lancer des inondations SYN sous forme d’attaques par déni de service distribué (DDoS).

Comment F5 atténue-t-il les attaques par inondation SYN ?

F5 solutions de protection contre les attaques DDoS contribuent à empêcher que les attaques visant le réseau ne paralysent, voire ne mettent hors service, vos serveurs et vos applications, privant ainsi vos clients de vos services. Nos solutions peuvent détecter une éventuelle attaque par inondation SYN et prendre des mesures défensives pour protéger la table de connexions, tout en permettant aux connexions légitimes d’accéder au réseau protégé. Avec ce type de défense, les requêtes SYN de l’attaquant reçoivent des réponses, ce qui lui donne l’impression que l’attaque fonctionne, mais la table de connexions n’atteint jamais sa capacité maximale, car seules les requêtes de connexion valides y conservent des entrées.