1-0 Instalando o Firewall Aker - Data - Aker Security Solutions

pois o servidor ao descobrir que a confirmação está demorando demais, remove a
conexão em andamento da lista. Entretanto, se o atacante persistir em mandar pacotes
seguidamente, o serviço ficará inutilizado enquanto ele assim o fizer.
Nem todas as máquinas são passíveis de serem atingidas por ataques de SYN Flood.
Implementações mais modernas do protocolo TCP possuem mecanismos próprios para
inutilizarem ataques deste tipo.
Como funciona a proteção contra SYN flood do Firewall Aker ?
O Firewall Aker possui um mecanismo que visa impedir que um ataque de SYN flood
seja bem sucedido. Seu funcionamento se baseia nos seguintes passos:
1. Ao chegar um pacote de abertura de conexão (pacote com flag de SYN,
mostrado no tópico acima) para uma máquina servidora a ser protegida, o
firewall registra isso em uma tabela e deixa o pacote passar (evidentemente, ele
só deixará o pacote passar se este comportamento for autorizado pelas regras de
filtragem configuradas pelo administrador. Para maiores detalhes veja o capítulo
intitulado O filtro de estados).
2. Quando chegar a resposta do servidor dizendo que a conexão foi aceita (pacote
com os flags SYN e ACK), o firewall imediatamente enviará um pacote para o
servidor em questão confirmando a conexão e deixará o pacote de resposta
passar em direção à máquina cliente. A partir deste momento, será acionado um
relógio interno no firewall que marcará o intervalo de tempo máximo em que o
pacote de confirmação do cliente deverá chegar.
3. Se a abertura de conexão for uma abertura normal, dentro de um intervalo de
tempo menor que o máximo permitido, a máquina cliente responderá com um
pacote confirmando o estabelecimento da conexão. Este pacote fará o firewall
considerar válido o pedido de abertura de conexão e desligar o relógio interno.
4. Caso a máquina cliente não responda dentro do tempo máximo permitido, o
firewall mandará um pacote especial para a máquina servidora que fará com que
a conexão seja derrubada.
Com estes procedimentos, o firewall consegue impedir que a fila de conexões em
andamento na máquina servidora fique cheia, já que todas as conexões pendentes serão
estabelecidas tão logo os pacotes de reposta atinjam o firewall. O ataque de SYN flood,
portando, não será efetivado.
Cabe enfatizar que todo o funcionamento desta proteção se baseia no intervalo de
tempo máximo de espera pelos pacotes de confirmação dos clientes. Se o intervalo de
tempo for muito pequeno, conexões válidas podem ser recusadas. Se o intervalo for
muito grande, a máquina servidora, no caso de um ataque, ficará com um grande
número de conexões abertas o que poderá provocar problemas ainda maiores.
12-2 Utilizando a interface gráfica para Proteção contra SYN
Flood
Para ter acesso a janela de configuração dos parâmetros de proteção contra SYN Flood,
basta: