ネットワークセキュリティにおけるSYNフラッド攻撃とは？仕組みと対策を徹底解説

SYNフラッド攻撃とは何か

SYNフラッド（TCP SYNフラッド）とは、DoS（サービス拒否）攻撃およびDDoS（分散型サービス拒否）攻撃の一種であり、大量の接続要求を送りつけることでサーバーを過負荷状態にし、正規のトラフィックに対してサービスを利用不能にする攻撃手法です。「ハーフオープン攻撃」とも呼ばれ、TCP接続の確立プロセスを悪用する点が大きな特徴です。

SYNフラッド攻撃の仕組み

TCP/IP通信では、接続を確立する際に「3ウェイハンドシェイク」と呼ばれる手順が使用されます。まずクライアントが「SYN」パケットを送信し、次にサーバーが「SYN-ACK」で応答、最後にクライアントが「ACK」を返すことで接続が完了します。SYNは「synchronize（同期）」の略で、2つのシステム間でTCP/IP接続を確立する最初のステップにあたります。

SYNフラッド攻撃では、攻撃者が偽装したIPアドレスを使って、標的サーバーの全ポートに対して繰り返しSYNパケットを送信します。サーバー側は攻撃を受けていることに気づかず、正当な通信要求であると誤認して各ポートにSYN-ACKパケットを返します。しかし、偽装された送信元からは応答が戻らないため、サーバーは応答待ちの「半開（half-open）」状態の接続を大量に抱え込むことになります。

攻撃によって引き起こされる問題

半開接続が蓄積されると、サーバーのメモリや接続リソースが急速に消費され、バックログキューが満杯になります。その結果、サーバーは新たな正規の接続要求に応答できなくなり、サービス全体が停止状態に陥ります。この種の攻撃は、Webサーバー、メールサーバー、ファイルサーバーなど、インターネットに接続されTCPサービスを提供するあらゆるシステムが標的になり得ます。

SYNフラッド攻撃への主な対策方法

1. バックログキューへの追加メモリ割り当て

各OSは、半開接続を保持するためのSYNバックログとして一定のメモリを割り当てています。この容量を増やすことで、攻撃による接続の飽和を一時的に緩和できます。

2. 古い半開接続の再利用

一定時間が経過しても応答のない最も古い半開接続を強制的に切断・再利用することで、リソースの枯渇を防ぎます。

3. SYNクッキーの活用

SYNクッキーは、接続情報をサーバー側で保持せず、暗号化されたクッキーとしてクライアントに返す技術です。これにより、半開接続によるリソース消費を大幅に抑えられます。

4. ファイアウォールとIPSの導入

ファイアウォールによるトラフィックフィルタリングや、侵入防止システム（IPS）の導入により、不審なSYNパケットの大量送信を検知・遮断できます。

5. 最新機器と監視ソフトウェアの活用

最新のネットワーク機器を使用し、商用の監視ソフトウェアでトラフィックを常時監視することで、異常な通信パターンを早期に発見し、迅速な対応が可能になります。

SYNフラッド保護機能について

多くのセキュリティ製品には「SYNフラッド保護モード」が搭載されており、有効にすることで半開のTCPセッションや大量のSYNパケットを含むトラフィックからシステムを防御できます。保護レベルは通常複数段階から選択でき、環境に応じた適切な強度を設定することが推奨されます。

まとめ

SYNフラッド攻撃は、TCP接続確立の仕組みを悪用した典型的なDoS/DDoS攻撃です。偽装IPアドレスからの大量のSYNパケットにより、サーバーは半開接続で溢れかえり、正規ユーザーへのサービス提供が不可能になります。バックログキューの拡張、SYNクッキー、ファイアウォール・IPSの導入、継続的なトラフィック監視といった多層的な対策を組み合わせることで、被害のリスクを大幅に低減できます。