TCP SYN 洪泛特征识别

大量 SYN 无后续握手、源地址分散或端口轮换，是 SYN 洪泛的抓包特征；识别后交由防护设备处理，抓包仅作证据与基线。

用途	从抓包侧识别异常建连模式
特征	SYN 数量级突增、极少 SYN-ACK/ACK、源分布集中

统计观察

tcpdump -i eth0 -nn -c 2000 'tcp[tcpflags] = tcp-syn' | awk '{print $3}' | cut -d. -f1-4 | sort | uniq -c | sort -rn | head
ss -s | grep -i syn

防护方向：SYN Cookie、连接数限制、上游清洗；本页只做检测与证据留存。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌