T1499.001: 操作系统耗尽洪泛

摘要

攻击者可能发动针对端点操作系统 (OS) 的拒绝服务 (DoS) 攻击。系统的 OS 负责管理有限资源，并防止整个系统因对其容量的过度需求而不堪重负。这些攻击不需要耗尽系统上的实际资源；攻击可能只是耗尽 OS 自身设定的限制和可用资源。 存在不同的实现方式，包括 TCP 状态耗尽攻击，如 SYN 洪泛和 ACK 洪泛。(Citation: Arbor AnnualDoSreport Jan 2018) 在 SYN 洪泛中，会发送过量的 SYN 数据包，但永远不会完成 3 次 TCP 握手。由于每个 OS 都有其允许的最大并发 TCP 连接数，这可能迅速耗尽系统接收新 TCP 连接请求的能力，从而阻止访问服务器提供的任何 TCP 服务。(Citation: Cloudflare SynFlood) ACK 洪泛利用 TCP 协议的有状态特性。向目标发送大量 ACK 数据包。这迫使 OS 在其状态表中搜索已建立的相关 TCP 连接。由于 ACK 数据包对应的是不存在的连接，OS 将不得不搜索整个状态表以确认不存在匹配项。当需要对大量数据包洪泛执行此操作时，由于必须进行消除这些异常 ACK 数据包的工作，计算需求可能导致服务器变得迟缓和/或无响应。这大大减少了可用于提供目标服务的资源。(Citation: Corero SYN-ACKflood)