O que é um ataque de inundação SYN?

Um ataque SYN flood, também conhecido como TCP SYN flood, é um tipo de ataque de negação de serviço (DoS) ou de negação de serviço distribuída (DDoS) que envia um grande volume de solicitações SYN a um servidor para sobrecarregá-lo com conexões abertas.

O que é um ataque SYN Flood?

Um ataque de inundação SYN, às vezes conhecido como ataque de conexão semiaberta, é um ataque à camada de rede que bombardeia um servidor com solicitações de conexão sem responder às confirmações correspondentes. O grande número de conexões TCP abertas resultantes consome os recursos do servidor, praticamente impedindo o tráfego legítimo, o que impossibilita a abertura de novas conexões legítimas e torna difícil ou impossível que o servidor funcione corretamente para usuários autorizados que já estejam conectados.

Por que a mitigação de ataques SYN flood é importante?

Praticamente qualquer organização com um site acessível ao público está vulnerável a esse tipo de ataque. Se uma inundação SYN não for rapidamente detectada e contida, ela pode sobrecarregar um servidor em pouco tempo, reduzindo drasticamente a velocidade de resposta e impedindo quaisquer outras conexões. Na prática, isso deixa o servidor indisponível, negando o serviço a usuários legítimos, que perdem o acesso a aplicações e dados, além de inviabilizar operações de comércio eletrônico. As consequências podem incluir perda de continuidade dos negócios, interrupção de infraestruturas críticas, queda nas vendas ou danos à reputação. Para algumas organizações, como as do setor de saúde, a perda de acesso aos dados pode colocar vidas em risco.

Pesquisas da F5 Labs indicam que os ataques de inundação SYN estão entre os tipos mais comuns de ataques volumétricos de DoS a cada ano. Eles podem ser usados em conjunto com outros tipos de ataque ou como cortina de fumaça para ocultá-los, incluindo ataques de ransomware ou tentativas de roubar dados ou instalar malware.

Como funciona uma inundação SYN?

Toda comunicação entre cliente e servidor começa com um handshake de três vias padronizado. O cliente envia um pacote SYN, o servidor responde com um SYN-ACK e a conexão TCP é estabelecida. Em um ataque de inundação SYN, o cliente envia um número excessivo de solicitações SYN e, intencionalmente, nunca responde às mensagens SYN-ACK do servidor.

Isso deixa o servidor com conexões abertas aguardando novas comunicações do cliente. Cada conexão é registrada na tabela de conexões TCP do servidor, até que ela fique cheia e bloqueie novas tentativas de conexão de qualquer origem. Como resultado, há perda de continuidade dos negócios e de acesso aos dados.

Os ataques de inundação SYN são frequentemente realizados por bots que se conectam a partir de endereços IP falsificados, dificultando a identificação e a mitigação do ataque. As botnets podem lançar inundações SYN na forma de ataques distribuídos de negação de serviço (DDoS).

Como a F5 mitiga ataques de inundação SYN?

A F5 soluções de proteção contra DDoS ajudam a garantir que ataques contra a rede não prejudiquem — ou, pior, interrompam — as camadas de servidores e aplicativos, afastando seus clientes. Nossas soluções conseguem identificar a possível ocorrência de um ataque de inundação SYN e adotar medidas defensivas de mitigação para proteger a tabela de conexões, permitindo que conexões legítimas acessem a rede protegida. Com esse tipo de defesa, as solicitações SYN do invasor recebem respostas, fazendo com que ele pense que o ataque está funcionando, mas a tabela de conexões nunca atinge sua capacidade máxima, pois somente solicitações de conexão válidas mantêm posições na tabela.