SYN-Flooding (oder TCP- SYN-Flood ) ist eine Form des Denial-of-Service-Angriffs auf Systeme, die Dienste über das Transmission Control Protocol (TCP) bereitstellen. Dabei wird die Art und Weise ausgenutzt, wie viele TCP-Implementierungen eingehende Verbindungsanfragen verarbeiten, indem ein Server gezwungen wird, den Status einer großen Anzahl unvollständiger (oder „halb geöffneter“) Verbindungen zu speichern. Dadurch stehen nicht genügend Ressourcen zur Verfügung, um neue, legitime Verbindungen anzunehmen.
Der Angriff zielt typischerweise auf einen TCP-Dienst im LISTEN-Zustand ab (z. B. einen Web- oder Mailserver). Ein Angreifer sendet eine schnelle Folge von TCP-SYN-Paketen – oft mit gefälschten Quell-IP-Adressen –, sodass der Server mit SYN-ACK-Paketen antwortet und Ressourcen für jede ausstehende Verbindung reserviert, aber die abschließende Bestätigung (ACK) für den TCP-Drei-Wege-Handschlag nicht empfängt. Gehen genügend solcher Anfragen ein, kann der Server seinen Rückstand an ausstehenden Verbindungen aufbrauchen, wodurch legitime Verbindungsversuche verzögert oder abgelehnt werden.
SYN-Flooding wurde erstmals 1996 öffentlich beschrieben [ 1 ] , obwohl einige Quellen behaupten, es sei bereits 1994 dokumentiert worden [ 2 ] und habe sich im selben Zeitraum zu einem weithin anerkannten Netzwerkangriff entwickelt. Seitdem wurden verschiedene Gegenmaßnahmen entwickelt, darunter Eingangsfilterung, Erhöhung der Backlog-Limits, Reduzierung der Timeouts für halbgeöffnete Verbindungen, SYN-Caches, SYN-Cookies sowie Firewall- oder Proxy-basierte Schutzmechanismen. RFC 4987 (2007) beschreibt den Angriff und gibt einen Überblick über gängige Gegenmaßnahmen und deren Vor- und Nachteile, definiert jedoch keine Empfehlungen auf Standardebene.
Aktuelle Einsatzberichte zeigen, dass SYN-Floods weiterhin ein bedeutender DDoS-Angriffsvektor sind, selbst neben größeren volumetrischen Angriffen wie DNS- und UDP-Floods. Cloudflare berichtete für 2025, dass SYN-Floods der zweithäufigste Layer-3/4-DDoS -Angriffsvektor waren und 27 % aller Angriffe ausmachten. [ 3 ]
Technische Details
Wenn ein Client versucht, eine TCP -Verbindung zu einem Server herzustellen , tauschen Client und Server eine Reihe von Nachrichten aus, die normalerweise wie folgt abläuft:
- Der Client fordert eine Verbindung an, indem er eine
SYN( synchronisierende ) Nachricht an den Server sendet. - Der Server bestätigt diese Anfrage, indem er
SYN-ACKeine Antwort an den Client sendet. - Der Client antwortet mit einem
ACK, und die Verbindung wird hergestellt.
Dies wird als TCP-Drei-Wege-Handschlag bezeichnet und bildet die Grundlage für jede Verbindung, die mit dem TCP-Protokoll hergestellt wird.
Ein SYN-Flood-Angriff funktioniert, indem der Angreifer nicht mit dem erwarteten Code auf die Serveranfrage antwortet ACK. Der Angreifer kann entweder die erwartete Antwort einfach nicht senden ACKoder durch Fälschung der Quell -IP-Adresse im E -Mail-Postfach SYNden Server dazu veranlassen, die Antwort SYN-ACKan eine gefälschte IP-Adresse zu senden. Diese sendet dann keine Antwort, ACKda sie „weiß“, dass sie nie eine Antwort gesendet hat SYN.
Der Server wartet eine gewisse Zeit auf die Bestätigung, da auch eine einfache Netzwerküberlastung die Ursache für das Ausbleiben sein kann ACK. Bei einem Angriff hingegen binden die vom Angreifer hergestellten, halb geöffneten Verbindungen Serverressourcen und können diese sogar überschreiten. In diesem Fall kann der Server keine Verbindungen mehr zu Clients herstellen, weder zu legitimen noch zu betrügerischen. Dies führt dazu, dass legitimen Clients der Dienst verweigert wird. Manche Systeme können zudem Fehlfunktionen aufweisen oder abstürzen, wenn andere Betriebssystemfunktionen auf diese Weise nicht ausreichend mit Ressourcen versorgt werden.
Gegenmaßnahmen
RFC 4987 beschreibt verschiedene Maßnahmen zur Abwehr von SYN-Flooding. Dazu gehören die Filterung von Eingangs- und Quelladressen (zur Reduzierung von gefälschtem Datenverkehr), die Erhöhung der Backlog-Limits und die Verkürzung der SYN-RECEIVED-Timeouts (einfache, aber begrenzte Maßnahmen) sowie robustere Endgeräte-Techniken wie SYN-Caches (die die vollständige Zustandszuweisung verzögern) und SYN-Cookies (die die Zustandszuweisung für halb geöffnete Verbindungen vermeiden, indem sie Verbindungsinformationen in die SYN-ACK-Sequenznummer kodieren), die in den meisten gängigen Betriebssystemen implementiert sind. [ 4 ] [ 2 ]
Siehe auch
Referenzen
- ^ „The Matrix: MEME 2.12“ . memex.org . Abgerufen am 21.02.2026 .
- ^ a b Eddy, Wesley (August 2007). TCP SYN Flooding Attacks and Common Mitigations (Report). Internet Engineering Task Force.
- ^ „Hypervolumetrische DDoS-Angriffe schießen in die Höhe: Cloudflares DDoS-Bedrohungsbericht für das zweite Quartal 2025“ . Der Cloudflare-Blog . 15.07.2025 . Abgerufen am 21.02.2026 .
- ^ Kurose, James F.; Ross, Keith W. (2021). Computer Networking: A Top-Down Approach (8. Aufl.). Pearson. ISBN 978-0136681557Die
