← Laboratório

Laboratório · Redes e Segurança

SYN Flood

Veja a fila de conexões semiabertas de um servidor encher, acompanhe quem consegue (ou não) completar o handshake e ligue as defesas, uma de cada vez, para entender quando funcionam e quando não adiantam.

Clientes legítimos conseguem conectar?

—
taxa de sucesso nos últimos 8 s
Fila0 / 16 Conexões estabelecidas0 Legítimos: ok / recusados0 / 0 Atacante: SYNs enviados0 Atacante: ocuparam vaga0 Barrados pelo limite por IP0

Registro de eventos

Como ler a simulação

O handshake e a fila

Ao receber um SYN, o servidor reserva uma entrada na fila de conexões semiabertas, responde com SYN-ACK e espera o ACK final do cliente.

  • Cliente legítimo: o ACK chega em centenas de milissegundos e a vaga é liberada.
  • Sem ACK, a entrada só sai da fila quando o tempo limite expira.
  • Fila cheia: novos SYNs são descartados, inclusive os legítimos.

O ataque

O atacante envia SYNs em ritmo maior do que o servidor libera vagas e nunca responde o ACK. Cada SYN ocupa uma vaga durante todo o tempo limite.

Não é preciso derrubar a rede: basta manter a fila cheia. Com IP falsificado, o SYN-ACK vai para um endereço que não iniciou nada e o servidor não tem como identificar a origem real.

Defesas e limites

  • SYN cookies: quando a fila enche, o servidor codifica o estado no número de sequência do SYN-ACK e não guarda nada; só cria a conexão se chegar um ACK válido.
  • Limite por IP: funciona contra uma origem única, mas é inútil com IPs falsificados, pois cada SYN parece vir de um endereço novo.
  • Fila maior ou tempo menor: apenas adiam o problema.
  • Na prática, também entram filtragem na borda da rede e proxies de SYN, além de serviços de mitigação.

Para pensar

  • Por que o cenário com limite por IP funciona com um atacante único e falha com spoofing?
  • Se você aumentar o backlog para 64, quanto tempo a fila aguenta o mesmo ataque?
  • E se o tempo limite cair para 3 s? Ainda é uma defesa suficiente?
  • Um ataque DDoS distribuído (vários atacantes reais) seria barrado pelo limite por IP? Por quê?

Nota sobre o modelo

É um modelo didático: os valores foram reduzidos para a animação ser legível e muitos detalhes reais ficam de fora (retransmissão de SYN, várias filas, comportamento de cada sistema operacional).

Atacar sistemas sem autorização é crime. Use o conhecimento para proteger, em ambientes de laboratório e com permissão.