定制场景化企业级服务器

主流服务器配置，可根据客户行业和业务特点，需求及预算，个性化定制服务器租用方案。其中，云服务器可根据客户业务需求，提供各种环境的基础架构资源，从计算资源、存储资源网络资源到跨数据中心的访问。

一线主流BGP服务器产品

BGP服务器实现单IP全网优质访问，快快网络严选优质BGP数据中心，主流服务器配置，可根据客户行业和业务特点，需求及预算，个性化定制服务器租用方案。

多线IP搭载全新安全产品

多线多IP高防级服务器配置，可根据客户行业和业务特点，需求及预算，个性化定制服务器租用方案。其中，云服务器可根据客户业务需求，提供各种环境的基础架构资源，从计算资源、存储资源网络资源到跨数据中心的访问。

量身定制场景化的服务器租用方案

黑石裸金属服务器

裸金属服务器（Bare Metal Server）是一种可弹性伸缩的高性能计算服务，具有与物理服务器无差异的计算性能和安全隔离的特点。满足企业在电商、直播、游戏等业务场景对高性能、安全性和稳定性的需求痛点。分钟级交付，实时售后服务响应，助力您的核心业务飞速成长。

高防云解决方案

高防云是快快云推出的一款专注网络安全的高性能安全云服务器，针对当今网络攻击形式越来越严峻提供高防场景下上云部署的最佳实践与贴身技术支持，满足企业云计算时代的安全需求。

一站式服务·华为云合作

华为云是华为公有云品牌，致力于提供世界一流的公有云服务，联接企业现在与未来快快云与华为云达成合作关系，结合用户痛点和华为云服务，为客户提供合适的产品及解决方案。

托管式私有云·阿里云集成

快快网络专家架构师团队结合用户痛点和阿里云服务，为用户提供云安全防护、云战略咨询、云架构规划、云运维管控、云上部署等专业服务及行业解决方案。将阿里云合适的产品和服务推荐给用户，解决企业的痛点。一站式服务，快速响应，让您的业务轻松无忧。

混合云·腾讯云集成

快快网络云计算架构师团队结合用户痛点和服务，与全国TOP5的超大云厂商互为战略伙伴，为用户提供架构梳理，企业解决方案，云上部署等专业服务。解决企业的痛点。为企业用户交付最佳混合云解决方案。

轻松应对大量DDoS攻击

专注于解决云外业务遭受大流量DDoS攻击的防护服务。支持网站和非网站类业务的DDoS、CC防护，用户通过配置转发规则，将攻击流量引至高防 IP 并清洗，保障业务稳定可用。

高防CDN

具备防护超大带宽DDoS的分布式防御及高安全立体式防CC系统，通过智能调度系统对攻击流量进行分流和清洗，避免受攻击时更换业务IP和繁琐的接入过程，简便高效，为您的业务提供安全保障。

网络安全管理解决方案

针对游戏行业所推出的高度可定制的网络安全管理解决方案，除了能针对大型DDoS攻击（T级别）进行有效防御外，还能彻底解决游戏行业特有的TCP协议的CC攻击问题，防护成本更低，效果更好。

全新的SDK接入模块

提供内含Windows、Android、iOS版本的加密SDK下载接入，防护DDoS和CC攻击，为游戏提供断线重连、智能加速、灵活调度的支持。

游戏安全加速

快快-云加速打造新高防模式，加速游戏软件。智能规划连接及加速网络，增强DDOS以及CC防御，游戏极速畅通无阻。

传奇类游戏智能保护

快快盾是一款针对PC端传奇类PC游戏为主的DDOS和高并发CC的安全加速软件，为用户提供独享防护资源，支持全业务抗D场景，致力于完美无损解决大规模DDOS攻击。

主机安全平台

快卫士主机安全采用自适应安全架构，将预测、防御、监控和响应能力融为一体，构建基于主机端的安全态势感知平台，为用户提供持续的安全监控、分析和快速响应能力，帮助用户在公有云、私有云等多样化的业务环境下，全方位保护企业数字资产安全。

Web应用防火墙(WAF)

快快网络Web应用防火墙WAF自动防护Web漏洞，对网站业务流量进行多维度检测和防护，将正常、安全的流量回源到服务器，避免黑客及病毒入侵。全面应对恶意弹窗、挂马中毒、数据泄露、CC攻击等问题。

DDoS安全防护

以持续扩张的安全网络为基础，结合自研ADS系统，加持机器学习及特征处置联动能力，扩大攻击可能性的捕捉范围，实时检测阻断各类DDoS攻击（如SYN Flood、UDP Flood、CC等），确保源站稳定可靠，以行业最高SLA标准99.999%确保业务永续无忧。

数据库审计

智能解析数据库通信流量，细粒度审计数据库访问行为，通过对数据库全量行为的审计溯源、危险攻击的实时告警、风险语句的智能预警，为您最敏感的数据库资产做好最安全的监控保障。

堡垒机

堡垒机，云上统一、高效、安全运维通道。用于集中管理资产权限，全程监控操作行为，实时还原运维场景，保障云端运维身份可鉴别、权限可管控、风险可阻断、操作可审计，助力等保合规

云防火墙

云防火墙服务是新一代的云原生防火墙，提供云上互联网边界和VPC边界的防护，包括：实时入侵检测与防御，全局统一访问控制，全流量分析可视化，日志审计与溯源分析等，是您的网络边界防护与等保合规利器。

独家签约济南联通核心资源

济南联通核心资源已由快快网络独家签约，是济南联通山东省核心总出口，直连省份最多达到22个省，出省宽带最高达到1.9个T，设置2套高压系统，配备了水冷冷水机组/高效热交换器+冷却塔+冷冻水空调室内机等设施。

全力重点打造的核心项目

快快网络全力重点打造的核心项目，是福建省规模最大的IDC基地，拥有近4000个机柜和多条海底光缆出口，最大出口带宽达到2T级，配套了三个回路供电系统以及福建省首个液态冷却系统等设施。

东南沿海地区辐射的重要战略基地

快快网络向东南沿海地区辐射的重要战略基地，拥有近4500个机柜，是华东南规模最大的高可用、高安全的数据中心，项目一期480G直连CHINANET骨干节点，一季度出口带宽达1T，拥有高设计等级的IDC产品服务，极具市场竞争力。

帮助中心与文档

×


热搜关键词：服务器云服务器账号

帮助文档

技术文档 > SYN Flood攻击原理与使用金盾防火墙进行防护 2015-05-25 15:23:25

SYN Flood攻击原理与使用金盾防火墙进行防护

SYN-Flood攻击是当前网络上最为常见的DDOS攻击，也是最为经典的拒绝服务攻击，它利用了TCP协议实现上的一个缺陷，通过向网络服务所在端口发送大量的伪造源地址的攻击报文，就可能造成目标服务器中的半开连接队列被占满，从而阻止其他合法用户进行访问。这种攻击早在1996年就被发现，但至今仍然显示出强大的生命力。很多操作系统，甚至防火墙、路由器都无法有效地防御这种攻击，而且由于它可以方便地伪造源地址，追查起来非常困难。它的数据包特征通常是，源发送了大量的SYN包，并且缺少三次握手的最后一步握手ACK回复。

SYN Flood攻击原理

例如，攻击者首先伪造地址对服务器发起SYN请求(我可以建立连接吗?)，服务器就会回应一个ACK+SYN(可以+请确认)。而真实的IP会认为，我没有发送请求，不作回应。服务器没有收到回应，会重试3-5次并且等待一个SYN Time(一般30秒-2分钟)后，丢弃这个连接。

如果攻击者大量发送这种伪造源地址的SYN请求，服务器端将会消耗非常多的资源来处理这种半连接，保存遍历会消耗非常多的CPU时间和内存，何况还要不断对这个列表中的IP进行SYN+ACK的重试。最后的结果是服务器无暇理睬正常的连接请求—拒绝服务。在服务器上用netstat –an命令查看SYN_RECV状态的话，就可以看到：

SYN_RECV状态

如果我们抓包来看：

ACK回应情况

可以看到大量的SYN包没有ACK回应。

SYN Flood攻击防护

目前市面上有些防火墙具有SYN Proxy功能，这种方法一般是定每秒通过指定对象(目标地址和端口、仅目标地址或仅源地址)的SYN片段数的阀值，当来自相同源地址或发往相同目标地址的SYN片段数达到这些阀值之一时，防火墙就开始截取连接请求和代理回复SYN/ACK片段，并将不完全的连接请求存储到连接队列中直到连接完成或请求超时。当防火墙中代理连接的队列被填满时，防火墙拒绝来自相同安全区域(zone)中所有地址的新SYN片段，避免网络主机遭受不完整的三次握手的攻击。但是，这种方法在攻击流量较大的时候，连接出现较大的延迟，网络的负载较高，很多情况下反而成为整个网络的瓶颈;

Random Drop：随机丢包的方式虽然可以减轻服务器的负载，但是正常连接的成功率也会降低很多;?

特征匹配：IPS上会常用的手段，在攻击发生的当时统计攻击报文的特征，定义特征库，例如过滤不带TCP Options 的syn 包等;

早期攻击工具(例如synkiller，xdos，hgod等)通常是发送64字节的TCP SYN报文，而主机操作系统在发起TCP连接请求时发送SYN 报文是大于64字节的。因此可以在关键节点上设置策略过滤64字节的TCP SYN报文，某些宣传具有防护SYN Flood攻击的产品就是这么做的。随着工具的改进，发出的TCP SYN 报文完全模拟常见的通用操作系统，并且IP头和TCP头的字段完全随机，这时就无法在设备上根据特定的规则来过滤攻击报文。这时就需要根据经验判断IP 包头里TTL值不合理的数据包并阻断，但这种手工的方法成本高、效率低。图是某攻击工具属性设置。

SYN Cookie攻击设置

SYN cookie：就是给每一个请求连接的IP地址分配一个Cookie，如果短时间内连续受到某个IP的重复SYN报文，就认定是受到了攻击，以后从这个IP地址来的包会被丢弃。但SYN Cookie依赖于对方使用真实的IP地址，如果攻击者利用SOCK_RAW随机改写IP报文中的源地址，这个方法就没效果了。

商业产品的防护算法

syn cookie/syn proxy类防护算法：这种算法对所有的syn包均主动回应，探测发起syn包的源IP地址是否真实存在;如果该IP地址真实存在，则该IP会回应防护设备的探测包，从而建立TCP连接;大多数的国内外抗拒绝服务产品采用此类算法。

safereset算法：此算法对所有的syn包均主动回应，探测包特意构造错误的字段，真实存在的IP地址会发送rst包给防护设备，然后发起第2次连接，从而建立TCP连接;部分国外产品采用了这样的防护算法。?

syn重传算法：该算法利用了TCP/IP协议的重传特性，来自某个源IP的第一个syn包到达时被直接丢弃并记录状态，在该源IP的第2个syn包到达时进行验证，然后放行。

综合防护算法：结合了以上算法的优点，并引入了IP信誉机制。当来自某个源IP的第一个syn包到达时，如果该IP的信誉值较高，则采用syncookie算法;而对于信誉值较低的源IP，则基于协议栈行为模式，如果syn包得到验证，则对该连接进入syncookie校验，一旦该IP的连接得到验证则提高其信誉值。有些设备还采用了表结构来存放协议栈行为模式特征值，大大减少了存储量。

金盾防火墙在默认的设置下就能很有效的防御此类攻击，见下图：

金盾防火墙的“防护参数”面板，其中的“SYN保护触发”，“SYN紧急触发”，“SYN单机屏蔽”这个3设置项就是专门针对此类攻击的防御设置，“SYN保护触发”是当SYN包的数量达到设置的数值以上就自动开启SYN保护，而“SYN紧急触发”是当SYN包的数量达到紧急触发所设置的值时采用紧急保护模式，最大限度防御SYN攻击；“SYN单机屏蔽”是当一个IP发送到我们服务器上的SYN包达到指定数值的情况下就对这个IP进行屏蔽，默认配置下就能很好的防御SYN Flood类型的攻击了。可以参考：金盾软件防火墙部分界面截图与功能介绍