SYN 洪泛特征识别
SYN 洪泛的特征是短时间内出现大量 SYN 却几乎没有后续握手，源地址常常分散或端口频繁轮换。抓包在这里的作用是识别异常建连模式、留下证据与基线，真正的遏制交给 SYN Cookie、连接数限制或上游清洗设备。攻击期间在受害主机上持续抓包本身会加重负载。
基本信息
| 适用平台 | Linux 的 tcpdump 与 Wireshark，防护侧常见 SYN Cookie |
|---|---|
| 识别特征 | SYN 数量突增、极少 SYN-ACK 与 ACK、源地址分布异常 |
| 抓包口径 | 限定端口与方向，控制抓包时长与速率 |
| 防护手段 | 内核 SYN Cookie、连接数限制、上游清洗 |
典型使用场景
- 攻击识别：确认流量形态与正常业务突增有本质区别
- 建立基线：记录正常时段的 SYN 速率作为对照
- 取证留档：保存源端口分布与时间线，便于上游联动处置
- 区分业务重试：客户端异常重试同样表现为大量 SYN
- 验证防护效果：对比开启防护前后 SYN 与 SYN-ACK 的比例
统计与防护
统计与防护
# 统计来源分布，量化「谁在打」
sudo tcpdump -i eth0 -nn -c 2000 'tcp[tcpflags] = tcp-syn' | awk '{print $3}' | cut -d. -f1-4 | sort | uniq -c | sort -rn | head
# 查看内核侧统计
ss -s | grep -i syn
sysctl net.ipv4.tcp_syncookies # 值为 1 表示启用 SYN Cookie现象对照
| 现象 | SYN 洪泛 | 业务突增 |
|---|---|---|
| SYN 与 ACK 比例 | 严重失衡 | 大致正常 |
| 源地址分布 | 分散或明显伪造 | 集中且可解释 |
| 源端口 | 轮换频繁 | 相对稳定 |
| 业务日志 | 没有对应记录 | 能对上请求 |
抓包本身不是缓解手段。在已经受攻击的主机上长时间抓包会加重 CPU 与磁盘负担，正确做法是控制抓包速率与时长，必要时改到交换机镜像口或上游设备上抓。
开启 SYN Cookie 后握手过程不再为每个半连接保存状态，抗打能力显著提升；代价是部分 TCP 选项（如大窗口、时间戳）无法正常协商，长肥管道上可能有轻微性能影响。
判断防护是否生效可以看 SYN 与 SYN-ACK 的比例：防护前大量 SYN 得不到应答，防护后应当看到更多正常的 SYN-ACK 与后续 ACK 出现。