Hvad er TCP SYN Flooding

http://www.networkcomputing.com/unixworld/security/004/004.txt.html

Fatter hat af hvad de skriver på det link. Jeg er ikke istand til at modificere TCP protokollen.

Så hvis der er nogen som kan oversætte til almindelig forstålig dansk ville det være dejligt

her er noget dansk
http://math.iu.hio.no/linux/alle/angrebs-typer.html#SYN-FLOOD

Det er vist bare blaster eller en af de andre orme som forsøger at komme igennem din router! men kan ikke helt se på din log om det er ind, eller ud (tror det er ind)

SYN er den parameter man bruger ved TCP, når en ny forbindelse skal oprettes.

Ud fra pilens retning, vil jeg sige din maskine forsøger at oprette en masse forbindelser ud af huset, til en masse forskellige computere på port 445. Dette er tegn på sasser-ormen.

Her kommer forklaringen.

Når du etablere en tcp forbindelse sker det altid via et såkaldt 3-way TCP handshake. Dette sker således:

Din maskine sender en SYN pakke til modtagerens maskine
Modtagerens maskine afsætter et lille stykke hukommelse og sender en ACK pakke samt en SYN pakke til din maskine.
Din maskine afsætter lidt hukommelse og sender en ACK pakke til modtagerens maskine.

Hvis du kikker efter har begge maskiner ny sendt en syn pakke der er blevet accepteret med en ack pakke og tovejs forbindelsen er skabt

Et syn flodding angreb udføres således

Din maskine bombardere modstanderens maskine med syn pakker. Hver gang afsætter modtagerens maskine et lille stykke hukommelse og sender en ack pakke.
Din maskine er konfigureret til at ignorere alle ack pakker fra modtageren og bare fortsætte med at syn flodde ham. Tilsidst vil modtagerens maskine ikke have mere hukommelse og gå ned lige så længe du flodter hem

Et normalt syn flod angreb kan laves mod de fleste sites med 4 til 5 linux maskiner og en 2 Mbit forbindelse. Du kan ikke sikre dig imod dette, men du kan optimere din firewall til bedre at modtså disse angreb. Dette gøres ved at sætte den tid, det lille stykke hukommelse der afsættes, holdes aktivt ned, dvs hukommelsen frigives hurtigere.

Nogle firewalls er bedre til dette end andre.

Disse syun flod angreb har bl.a. været andvendt med succes mod Ladbrouks og vist også unibet af russiske hackere der ville afpredse dem til at betale for ikke at blive syn floddet i timerne op til store kampe

det er skræmmende let at syn flodde, men Ekspertens regler forbyder at jeg beskriver hvordan det gøres. Der er også en del andre ting du kan gøre for at beskytte dig. Skriv hvis det er relevant med en uddybende beskrivelse at modforanstaltningerne

buffer, jeg tror ikke det er et syn angreb.. så ville modtageren nok være den samme hver gang.

Ikke nødvendigvis. Faktisk kan de bedste af værktøjerne relativt enkelt spoofe afsender adressen. Det er en af metoderne til at sikre at du ikke selv bliver generet af ACK svarene. Du kan simpelthend lave en liste over adresser du ønsker at bruge som spoofede afsender adresser og sø kører med dit angreb. Det er en del af det.

Det kan sagtens være et syn flod angreb

Jeg fandt lige dette fra en rapport jeg har liggende

Countermeasures to take – to avoid the syn flood attack
Since the three-way-handshake is part of communicating with TCP – there are no “cure” against a syn flood. You can only do as much as you can to minimize the problem.

These means are:
•    In this case all the syn packets are originating from the same “spoofed” hosts. Therefore it would be possible to block all hosts initiating more than e.g. 10 requests per second. Be careful not to block legal traffic.
•    Use micro blocks – meaning as little as 16 byte of allocated memory per syn packet.
•    Use Syn Cookies – meaning that the server sends a syn ack packet to the initiating host based on parameters in the packet. This means that the server allocates memory on the third packet and not the first packet.
•    RST cookies – meaning the server sends a wrong SYN,ACK packet to the host – which then should generate a RST packet. If it does so – the originating host is legitimate .
•    Decrease the timeout value on the terminating host – meaning that each connection times out faster – instead of waiting too long for the last ACK packet.
•    Since the target host uses a Firewall-1 the built in SYNDefender could be used.
•    Increase the amount of RAM – used for storing SYN connections. Maybe even add more RAM to the server.

Even though these methods are often very good ideas – a SYN flood can never be 100% prevented. Theoretically it is always a matter of how many hosts are attacking. In the end – all the SYN packets will exhaust all the bandwidth.

Jeg snakker heller ikke om afsender, men om modtager. Jeg synes klart loggen viser, at det er spørgers maskine som sender pakker afsted, til en masse forskellige maskiner..

og siden den forsøger på port 445, kunne det f.eks. være sasser

Sidder du på netværk sammen med andre?

Hvis min teori holder, og du har sasser på en nyformateret maskine (og du sidder bag en router) kan smittekilden måske være en anden maskine på netværket..

jeg synes heller ikke det fremgår af loggen, at det skulle være et syn angreb