Ein TCP-SYN-Flood-Angriff ist ein typischer verteilter (distributed) Denial of Service Angriff. Dabei werden Handshake-Anfragen vom Angreifer halboffen gehalten und verbrauchen so Firewall- oder Server-Ressourcen.
(Bild: Check Point Software Technologies)
Organisatorisch: Wie bei allen DoS- und DDoS-Attacken sollte jedes Unternehmen einen Plan und eine Strategie entwickeln, um entsprechend reagieren zu können, wenn sie als Ziele anvisiert werden. Die Mitarbeiter der IT-Abteilung sollten außerdem nach diesem Plan trainieren und Maßnahmen austesten, um Mängel festzustellen, damit sie wissen, was verbessert werden muss.
Da die Angreifer bei einer SYN Flood Attacke für gewöhnlich - oder sollte man besser sagen immer - ihre IP-Adresse spoofen, kann es kompliziert werden, die Angreifer mit forensischen Methoden ausfindig zu machen.
Durch die Abwehr unwissend zum Angreifer
Zusätzlich müssen Unternehmen, die sich vor SYN Flood Attacken schützen wollen, sich darüber im Klaren sein, welche Abwehrmechanismen sie einsetzen. Damit soll verhindert werden, dass sie Methoden und Maßnahmen einsetzen, die dann von Angreifern für eine SYN Reflection Attacke genutzt werden können.
Hier wird die ursprüngliche IP-Adresse gespoofed, so dass die SYN Anfragen an einen unschuldigen Server gesendet werden und die SYN Protection diese Flut von SYN Anfragen erkennt und startet diese zu authentifizieren.
Wenn dieser Schutz nicht die Menge an Authentifizierungen einschränkt, die zurückgesendet werden, wird das Unternehmen plötzlich unwissentlich an einer SYN Reflection Attacke beteiligt, obwohl die dortigen IT-Mitarbeiter eigentlich glauben, dass sie eine SYN Attacke von einer anderen Quelle blocken.
Im nächsten Teil dieser Artikelserie über DDoS-Angriffe zeigen wir wie volumetrische Attacken funktionieren und wie sich IT-Abteilungen dagegen wehren können.