syn洪水
什么是SYN包与SYN攻击原理
什么是SYN包与SYN攻击原理什么是SYN包与SYN攻击原理.txt-//⾃私，让我们只看见⾃⼰却容不下别⼈。
如果发短信给你喜欢的⼈，他不回，不要再发。
看着你的相⽚，我就特冲动的想P成⿊⽩挂墙上!有时，不是世界太虚伪，只是，我们太天真。
什么是SYN包？SYN包是什么意思？TCP连接的第⼀个包，⾮常⼩的⼀种数据包。
SYN攻击包括⼤量此类的包，由于这些包看上去来⾃实际不存在的站点，因此⽆法有效进⾏处理。
当两台计算机在TCP连接上进⾏会话时，连接⼀定会⾸先被初始化。
完成这项任务的包叫作SYN。
⼀个SYN包简单的表明另⼀台计算机已经做好了会话的准备。
只有发出服务请求的计算机才发送SYN包。
所以如果你仅拒绝进来的SYN包，它将终⽌其它计算机打开你计算机上的服务，但是不会终⽌你使⽤其它计算机上的服务，如果它没有拒绝你发送的SYN包的话。
SYN攻击最近对SYNFlood特别感兴趣，看到⼀个关于SYNcookiefirewall的⽂章，在google搜了⼀下，没中⽂的，翻译他⼀下本⽂介绍了４个概念⼀：介绍SYN⼆：什么是SYN洪⽔攻击三：什么是SYNcookie四：什么是SYNcookie防⽕墙C=client(客户器)S=Server(服务器)FW=Firewall(防⽕墙)⼀：介绍SYNSYNcookie是⼀个防⽌SYN洪⽔攻击技术。
他由D.J.Bernstein和EricSchenk发明。
现在SYN COOKIE已经是linux内核的⼀部分了（我插⼀句，默认的stat是no）,但是在linux系统的执⾏过程中它只保护linux系统。
我们这⾥只是说创建⼀个linux防⽕墙，他可以为整个⽹络和所有的⽹络操作系统提供SYNCOOKIE保护你可以⽤这个防⽕墙来阻断半开放式tcp连接，所以这个受保护的系统不会进⼊半开放状态(TCP_SYN_RECV)。
当连接完全建⽴的时候，客户机到服务器的连接要通过防⽕墙来中转完成。
SYNFlood攻击
SYNFlood攻击什么是SYN Flood攻击？SYN泛洪（半开放式攻击）是⼀种，旨在通过消耗所有可⽤的服务器资源来使服务器⽆法⽤于合法流量。
通过重复发送初始连接请求（SYN）数据包，攻击者可以淹没⽬标服务器计算机上的所有可⽤端⼝，从⽽使⽬标设备对合法流量的响应缓慢或完全不响应。
SYN Flood攻击如何⼯作？SYN Flood攻击通过利⽤连接的握⼿过程来⼯作。
在正常情况下，TCP连接表现出三个不同的过程以进⾏连接。
1. ⾸先，客户端将SYN数据包发送到服务器以启动连接。
2. 然后，服务器使⽤SYN / ACK数据包响应该初始数据包，以便确认通信。
3. 最后，客户端返回⼀个ACK数据包，以确认已从服务器接收到该数据包。
完成发送和接收数据包的顺序之后，TCP连接将打开并能够发送和接收数据。
为了创建，攻击者利⽤以下事实：接收到初始SYN数据包后，服务器将以⼀个或多个SYN / ACK数据包进⾏响应，并等待握⼿的最后⼀步。
运作⽅式如下：1. 攻击者通常使⽤IP地址将⼤量SYN数据包发送到⽬标服务器。
2. 然后，服务器响应每个连接请求，并保留⼀个开放的端⼝以准备接收响应。
3. 当服务器等待永远不会到达的最终ACK数据包时，攻击者将继续发送更多SYN数据包。
每个新的SYN数据包的到来使服务器暂时维持新的开放端⼝连接⼀段时间，⼀旦所有可⽤端⼝都被利⽤，服务器将⽆法正常运⾏。
在⽹络中，当服务器使连接保持打开状态但连接另⼀端的计算机未打开时，该连接被视为半打开。
在这种DDoS攻击中，⽬标服务器会不断离开开放的连接，并等待每个连接超时，然后端⼝才能再次可⽤。
结果是，这种类型的攻击可以被视为“半开放式攻击”。
SYN泛滥可以通过三种不同的⽅式发⽣：1. 直接攻击：未被欺骗的SYN泛洪称为直接攻击。
在这种攻击中，攻击者根本不会掩盖其IP地址。
由于攻击者使⽤具有真实IP地址的单个源设备来发起攻击，因此攻击者极易受到发现和缓解的影响。
04-常见的攻击技术介绍——DDoS攻击
大量ACK冲击服务器
受害者资源消耗
查表 回应ACK/RST ACK Flood流量要较大才会对 服务器造成影响
攻击者
DDoS攻击介绍——Connection Flood
Connection Flood 攻击原理
攻击表象
攻击者
大量tcp connect
正常tcp connect 正常tcp connect
NETBIOS/SMB 微软专利的组网协议多年来一直存在着各种各样的问题，
他们的某些缓冲区溢出漏洞可以导致Dos攻击和NetBILS名字重叠攻击，遭到 攻击的Windows系统将无法接入自己所属的局域网。
DOS工具包 因为没有耐心去一种一种地尝试哪种攻击手段可以奏效，所
以有些黑客干脆利用脚本把自己收集到的攻击工具打包在一起去攻击目标系统。
最新的DDOS变体普遍依赖IRC的“机器人”功能来管理他们的攻击活动。在各种 “机器人”软件中，流传最广的是Agobot/Gaobot系列。
针对DOS攻击的防范措施
因为DOS攻击具有难以追查其根源（思考为什么难于追查）的特点， 所以DOS要比其他任何攻击手段都应该采用有抵御、监测和响应等多种 机制相结合的多重防线来加以防范。单独使用这些机制中的任何一种都 不能保证百分之百的安全，但如果把它们结合起来，就可以把网络财产 所面临的风险控制在一个适当的水平。
伪造地址进行SYN 请求
就是让 你白等
SYN （我可以连接吗？） 不能建立正常的连接！
为何还 没回应
受害者
攻击表象
SYN_RECV状态 半开连接队列
遍历，消耗CPU和内存 SYN|ACK 重试 SYN Timeout：30秒~2分钟 无暇理睬正常的连接请求—拒 绝服务
网络安全期末复习题(答案)解析
网络安全期末复习题及答案一、选择题：1.计算机网络安全的目标不包括( A )A.可移植性B.保密性C.可控性D.可用性2.SNMP的中文含义为( B )A.公用管理信息协议B.简单网络管理协议C.分布式安全管理协议D.简单邮件传输协议3.端口扫描技术( D )A.只能作为攻击工具B.只能作为防御工具C.只能作为检查系统漏洞的工具D.既可以作为攻击工具，也可以作为防御工具4.在以下人为的恶意攻击行为中，属于主动攻击的是( A )A、身份假冒B、数据解密C、数据流分析D、非法访问5.黑客利用IP地址进行攻击的方法有：( A )A. IP欺骗B. 解密C. 窃取口令D. 发送病毒6.使网络服务器中充斥着大量要求回复的信息，消耗带宽，导致网络或系统停止正常服务，这属于什么攻击类型? ( A )A、拒绝服务B、文件共享C、BIND漏洞D、远程过程调用7.向有限的空间输入超长的字符串是哪一种攻击手段？( A )A、缓冲区溢出B、网络监听C、拒绝服务D、IP欺骗8.用户收到了一封可疑的电子邮件,要求用户提供银行账户及密码,这是属于何种攻击手段( B )A、缓存溢出攻击B、钓鱼攻击C、暗门攻击D、DDOS攻击9.Windows NT 和Windows 2000系统能设置为在几次无效登录后锁定帐号,这可以防止：( B )A、木马B、暴力攻击C、IP欺骗D、缓存溢出攻击10.当你感觉到你的Win2003运行速度明显减慢，当你打开任务管理器后发现CPU的使用率达到了百分之百，你最有可能认为你受到了哪一种攻击。
( B )A、特洛伊木马B、拒绝服务C、欺骗D、中间人攻击11.假如你向一台远程主机发送特定的数据包，却不想远程主机响应你的数据包。
这时你使用哪一种类型的进攻手段？( B )A、缓冲区溢出B、地址欺骗C、拒绝服务D、暴力攻击12.小李在使用super scan对目标网络进行扫描时发现，某一个主机开放了25和110端口，此主机最有可能是什么？( B )A、文件服务器B、邮件服务器C、WEB服务器D、DNS服务器13.你想发现到达目标网络需要经过哪些路由器，你应该使用什么命令？( C )A、pingB、nslookupC、tracertD、ipconfig14.黑客要想控制某些用户，需要把木马程序安装到用户的机器中，实际上安装的是( B )A．木马的控制端程序B．木马的服务器端程序C．不用安装D．控制端、服务端程序都必需安装15.为了保证口令的安全，哪项做法是不正确的( C )A 用户口令长度不少于6个字符B 口令字符最好是数字、字母和其他字符的混合C 口令显示在显示屏上D 对用户口令进行加密16.以下说法正确的是( B )A．木马不像病毒那样有破坏性B．木马不像病毒那样能够自我复制C．木马不像病毒那样是独立运行的程序 D．木马与病毒都是独立运行的程序17.端口扫描的原理是向目标主机的________端口发送探测数据包，并记录目标主机的响应。
网络安全期末考试复习资料
网络安全期末考试复习资料网络安全复习资料1、下列不属于黑客攻击目的的是：（C）A、窃取信息B、获取口令C、给系统打补丁D、获取超级用户权限2、TCP/IP协议本身却具有很多的安全漏洞容易被黑客加以利用，但以下哪一层不会被黑客攻击（D）A、应用层B、传输层C、网际层D、都会被黑客攻击3. 攻击者通过外部计算机伪装成另一台合法机器来实现。
它能破坏两台机器间通信链路上的数据，其伪装的目的在于哄骗网络中的其它机器误将其攻击者作为合法机器加以接受，诱使其它机器向他发送据或允许它修改数据,此类型的攻击属于（B）？A.通过网络监听B.Ip地址欺骗C.口令攻击D.特洛伊木马4、下列不属于DDoS防范措施的是：（D）A、关闭不必要的服务。
B、限制同时打开的Syn半连接数目。
C、在网络防火墙上设置D、不安装DoS黑客工具5、下列不属于windows系统安全加固的方法是（B）A）安装最新的系统补丁B）打开帐号空连接C）删除管理共享D）激活系统的审计功能6、操作系统安全机制不包括（D）A）用户的登录B）文件和设备使用权限C）审计D）安装最新的系统补丁7、防范Windows操作系统中IPC＄攻击的方法不包括（D）A）关闭帐号的空连接B）删除管理共享C）指定安全口令D ）安装最新的系统补丁8、创建Web虚拟目录的用途是( C )。
A．用来模拟主目录的假文件夹B．用一个假的目录来避免感染病毒C．以一个固定的别名来指向实际的路径，当主目录改变时，相对用户而言是不变的D．以上都不对9、若系统存在Unicode漏洞，可采取补救办法不包括:（C）A限制网络用户访问和调用CMD命令的权限；B若没必要使用SCRIPTS和MSADC目录，将其全部删除或改名；C将IIS安装在主域控制器上D到Microsoft网站安装Unicode 漏洞补丁10、防范IE攻击的手段不包括（B）A、尽量避免访问一些不知名的网站B、控制网站访问次数C、预防恶意程序的运行D、利用杀毒软件11、MS SQL－SERVER空口令入侵无法实现的破坏是（B）A、将空口令服务器的数据库导出B、删除SA账号C、增加管理员D、格式化硬盘12、Access数据库下载漏洞防范措施不包括（A）A、在ASP程序中更改数据库连接方式为”DSN”B、设置复杂管理员口令，并MD5加密C、在数据库文件名前加一“＃“D、在IIS中，数据库上右键属性中，设置文件不可以读取13、针对后台是SQL_Server的数据库注入攻击实现不了的功能是（B）A、查询数据库B、下载数据库C、收集程序及服务器的信息D、绕过登陆验证14. 保证网络安全的最主要因素（C）。
[原创]SYNflood攻击原理
![[原创]SYNflood攻击原理](https://img.taocdn.com/s3/m/afed2bfd647d27284a73513e.png)
[原创]SYNflood攻击原理剖析"拒绝服务"攻击-SYN拒绝服务一、洪水——大自然对人类的报复每一年，自然界都要用各种方式去报复人们对它做的一切，例如洪水。
每一年，人们都要为洪水后满地的狼籍和可能造成的人员伤亡和财产损失而发愁。
为了抵抗洪水，人们砍伐树木挖采岩石建造更高的堤坝;为了破坏这些堤坝，大自然发起更猛烈的洪水冲垮这些防护措施。
在大自然与人类抗衡的同时，网络上也有人与人之间的抗衡。
每一年，有些人总要不断试验各种令某些网站长时间无法访问的攻击方法。
每一年，投资者都要因为这些网站被恶意停止所造成的经济损失头痛。
为了抵抗这些人的攻击，技术人员研究各种方法让这些攻击造成的损失降低;为了各种目的，攻击者们研究更多的攻击方法让网站再次瘫痪。
这种攻击被称为“Denial of Service(DoS)”，臭名昭著的“拒绝服务”攻击。
它通常使用不只一台机器进行攻击，攻击者能同时控制这些机器，这种结构就是“Distributed”，分布式。
所以，我们要讨论的拒绝服务，默认都是指“Distributed Denialof Service(DDoS)”，分布式拒绝服务。
二、面对洪水……1.洪水以外的东西——被滥用的SYN拒绝服务(Synchronize Denial of Service)当一个地区即将发生洪水(或者已经发生)的时候，当地居民的表现很少有镇定的:东奔西跑的、收拾财物的、不知所措的……整个城镇乱成一锅粥，造成的后果就是街道交通混乱，谁也跑不了。
这个问题到了网络上，就变成了一堆数据包只能在服务器外面乱撞而不入。
为什么会这样,因为攻击者使用了SYN攻击。
要明白SYN攻击的原理，要从连接建立的过程开始说起。
从我们输入一个网址到我们能看到这个网页，机器在非常短的时间内为我们做了三件重要的事情:1.机器发送一个带有“ SYN”(同步)标志的数据包给服务器，请求连接;2.服务器返回一个带有SYN标志和ACK(确认)标志数据包给机器;3.机器也返回一个ACK确认标志数据包给服务器，数据传输建立。
DOSS攻击之详解
DoS到底是什么？接触较早的同志会直接想到的DOS--DiskOperationSystem？不，此DoS非彼DOS也，DoS即DenialOfService，拒绝服务的缩写。
DoS是Denial of Service的简称，即拒绝服务，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。
最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。
一、概念理解：作个形象的比喻来理解DoS。
街头的餐馆是为大众提供餐饮服务，如果一群地痞流氓要DoS餐馆的话，手段会很多，比如霸占着餐桌不结账，堵住餐馆的大门不让路，骚扰餐馆的服务员或厨子不能干活，甚至更恶劣……相应的计算机和网络系统则是为用户提供互联网资源的，如果有要进行DoS攻击的话，可以想象同样有好多手段！今天最常见的DoS攻击有对计算机网络的带宽攻击和连通性攻击。
带宽攻击指以极大的通信量冲击网络，使得所有可用都被消耗殆尽，最后导致合法的用户请求无法通过。
连通性攻击指用大量的连接请求冲击计算机，使得所有可用的资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。
传统上，攻击者所面临的主要问题是，由于较小的网络规模和较慢的的限制，攻击者无法发出过多的请求。
虽然类似“thepingofdeath”的攻击类型只需要较少量的包就可以摧毁一个没有打过的UNIX系统，但大多数的DoS攻击还是需要相当大的带宽的，而以个人为单位的们很难使用高带宽的资源。
为了克服这个缺点，DoS攻击者开发了分布式的攻击。
攻击者简单利用工具集合许多的来同时对同一个目标发动大量的攻击请求，这就是DDoS攻击。
无论是DoS攻击还是DDoS攻击，简单的看，都只是一种破坏网络服务的方式，虽然具体的实现方式，但都有一个共同点，就是其根本目的是使受害或网络无法及时接收并处理外界请求，或无法及时回应外界请求。
其具体表现方式有以下几种：1. 制造大流量无用数据，造成通往被攻击的，使被攻击主机无法正常和外界通信。
TCP洪水攻击（SYNFlood）的诊断和处理
TCP洪⽔攻击（SYNFlood）的诊断和处理SYN Flood是当前最流⾏的DoS（拒绝服务攻击）与DDoS（分布式拒绝服务攻击）的⽅式之⼀，这是⼀种利⽤TCP协议缺陷，发送⼤量伪造的TCP连接请求，常⽤假冒的IP或IP号段发来海量的请求连接的第⼀个握⼿包（SYN包），被攻击服务器回应第⼆个握⼿包（SYN+ACK 包），因为对⽅是假冒IP，对⽅永远收不到包且不会回应第三个握⼿包。
导致被攻击服务器保持⼤量SYN_RECV状态的“半连接”，并且会重试默认5次回应第⼆个握⼿包，塞满TCP等待连接队列，资源耗尽（CPU满负荷或内存不⾜），让正常的业务请求连接不进来。
详细的原理，⽹上有很多介绍，应对办法也很多，但⼤部分没什么效果，这⾥介绍我们是如何诊断和应对的。
诊断我们看到业务曲线⼤跌时，检查机器和DNS，发现只是对外的web机响应慢、CPU负载⾼、ssh登陆慢甚⾄有些机器登陆不上，检查系统syslog：tail -f /var/log/messagesApr 18 11:21:56 web5 kernel: possible SYN flooding on port 80. Sending cookies.检查连接数增多，并且SYN_RECV 连接特别多：netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'TIME_WAIT 16855CLOSE_WAIT 21SYN_SENT 99FIN_WAIT1 229FIN_WAIT2 113ESTABLISHED 8358SYN_RECV 48965CLOSING 3LAST_ACK 313根据经验，正常时检查连接数如下：netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'TIME_WAIT 42349CLOSE_WAIT 1SYN_SENT 4FIN_WAIT1 298FIN_WAIT2 33ESTABLISHED 12775SYN_RECV 259CLOSING 6LAST_ACK 432以上就是TCP洪⽔攻击的两⼤特征。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1）数值名称：SynAttackProtect
项：Tcpip\Parameters
数值类型：REG_DWORD
有效范围：0，1
默认值：0
该注册表值可使传输控制协议（TCP）调整SYN-ACKS的重新传输。
配置该值后，如果出现SYN攻击（拒绝服务攻击的一种），连接响应超时时间将更短。
如果设置为“0”（默认值），则无SYN攻击防护；设置为“1”，则可以更有效地抵御SYN攻击。
将SynAttackProtect设置为1时，如果系统检测到存在SYN攻击，连接响应的超时时间将更短。
Windows使用以下值确定是否存在攻击。
TcpMaxPortsExhaustedν
TCPMaxHalfOpenν
TCPMaxHalfOpenRetriedν
注意：在Windows Server 2003 Service Pack 1中，SynAttackProtect注册表项的默认值为1。
2）数值名称：EnableDeadGWDetect
项：Tcpip\Parameters
数值类型：REG_DWORD
有效范围：0，1（False，True）
默认值：1（True）
如果将EnableDeadGWDetect设置为“1”，则允许TCP执行失效网关检测。
启用失效网关检测时，如果多个连接出现困难，TCP可能会要求Internet协议（IP）切换到备份网关。
可以在“TCP/IP配置”对话框（“控制面板”中的“网络”工具中）的“高级”部分中定义备份网关。
建议用户将EnableDeadGWDetect值设置为“0”。
如果不将该值设置为“0”，攻击可能会强制服务器切换网关，而切换到的新网关可能并不是用户打算使用的网关。
3）数值名称：EnablePMTUDiscovery
项：Tcpip\Parameters
数值类型：REG_DWORD
有效范围：0，1（False，True）
默认值：1（True）
如果将EnablePMTUDiscovery设置为“1”，则TCP将尝试发现经由远程主机的路径传输的最大传输单位（MTU）或最大数据包大小。
通过发现路径的MTU并将TCP段限制到这一大小，TCP可以沿着连接具有不同MTU用户网络的路径删除路由器上的碎片。
碎片会对TCP 的吞吐量产生不利影响。
建议将EnablePMTUDiscovery设置为“0”，这样576字节的MTU 将应用于本地子网中所有非主机的连接。
如果不将该值设置为“0”，攻击者可能会强制MTU 值变得非常小，从而导致堆栈的负荷过大。
同样要注意，将EnablePMTUDiscovery设置为0将对TCP/IP性能和吞吐量产生负面影响。
4）数值名称：KeepAliveTime
项：Tcpip\Parameters
数值类型：REG_DWORD-时间（以毫秒为单位）
有效范围：1-0xFFFFFFFF
默认值：7 200 000（两个小时）
该值控制TCP通过发送“保持活动”的数据包来验证空闲连接仍然完好无损的频率。
如果仍能连接到远程计算机，该计算机就会对“保持活动”的数据包作出应答。
默认情况下，不发送“保持活动”的数据包，可以使用程序在连接上配置该值。
建议将该值设置为300 000（5分钟）。
5）数值名称：NoNameReleaseOnDemand
项：Netbt\Parameters
数值类型：REG_DWORD
有效范围：0，1（False，True）
默认值：0（False）
该值确定计算机在收到名称释放请求时是否释放其NetBIOS名称。
添加该值的目的是让管理员能够保护计算机免受恶意的名称释放攻击。
建议将NoNameReleaseOnDemand值设置为“1”。
3.6.3全面抵御SYN攻击
SYN攻击利用了TCP/IP连接建立机制中的安全漏洞。
要实施SYN洪水攻击，攻击者会使用程序发送大量的TCP SYN请求，来填满服务器上的挂起连接队列。
这会禁止其他用户建立网络连接。
要保护网络免遭SYN攻击，只需按以下这些通用步骤操作即可。
（1）启用SYN攻击保护。
（2）设置SYN保护阈值。
（3）设置其他保护。
本节及后面所介绍的注册表配置方法同样适用于Windows 2000和Windows Server 2003系统。
1．SYN攻击保护
启用SYN攻击保护需要设定以下注册表键值项（为双字节类型）。
SynAttackProtect双字节键值项。
该键值项位于注册表编辑器的HKEY_LOCAL_ MACHINE\SYSTEM\CurrentControlSet\Services主键项中，并将其设置为“2”（有效值为0～2）。
以上设置就可使TCP调整SYN-ACK的重传。
配置此值后，在遇到SYN攻击时，对连接超时的响应将更快速。
在超过TcpMaxHalfOpen或TcpMaxHalfOpenRetried的值后，将触发SYN攻击保护。
这个注册表项已在前面两节有了介绍，在此不再赘述。
下面介绍SYN的保护阈值。
2．设置SYN保护阈值
1）TcpMaxPortsExhausted双字节键值项
在注册表编辑器中找到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services主键项，并查看名为“TcpMaxPortsExhausted”的双字节键值项，将其值设置为“5”（有效值为0～65 535）。
这项设置是指定触发SYN洪水攻击保护所必须超过的TCP连接请求数的阈值。
2）TcpMaxHalfOpen键值项
在注册表编辑器相同的Services主键项中找到名为“TcpMaxHalfOpen”的键值项，并将其值设置为“500”（有效值为100～65 535）。
这项设置用于在启用SynAttackProtect 后，指定处于SYN_RCVD状态的TCP连接数的阈值。
在超过SynAttackProtect后，将触发SYN洪水攻击保护。
3）TcpMaxHalfOpenRetried双字节键值项
同样在上述Services主键项中设置TcpMaxHalfOpenRetried键值项的值为400（有效值为80～65 535）。
该项设置用于在启用SynAttackProtect键值项后，指定处于至少已发送一次重传的SYN_RCVD状态中的TCP连接数的阈值。
超过SynAttackProtect 值后，将触发SYN洪水攻击保护。
3．其他保护项
这一部分中的所有注册表项和值都位于注册表项的HKEY_LOCAL_MACHINE\ SYSTEM \CurrentControlSet\Services主键项下面。
将名为“TcpMaxConnectResponseRetransmissions”的双字节键值项设置为“2”（有效值为0～255）。
该项设置用于控制在响应一次SYN请求之后，在取消重传尝试之前SYN-ACK响应的重传次数。
将名为“TcpMaxDataRetransmissions”的双字节键值项的值设置为“2”（有效值为0～65 535）。
该项设置指定在终止连接之前TCP重传一个数据段（不是连接请求段）的次数。
将名为“EnablePMTUDiscovery”的键值项的值设置为“0”（有效值为0，1）。
将该项值设置为“1”（默认值）可强制TCP查找在通向远程主机的路径上的最大传输单元或最大数据包大小。
攻击者可能将数据包强制分段，这会使堆栈不堪重负，所以设置为“0”。
对于不是来自本地子网的主机的连接，将该值指定为0可将最大传输单元强制设定为576字节。
将名为“KeepAliveTime”的键值项的值设置为“300 000”（5分钟，有效值为80～4 294 967 295）。
该项设置可以指定TCP尝试通过发送持续存活的数据包来验证空闲连接是否仍然未被触动的频率。
将名为“NoNameReleaseOnDemand”的键值项的值设置为“1”（有效值为0，1）。
该项设置可以指定计算机在收到名称发布请求时是否发布其NetBIOS名称，设置为“1”
表示发布。
如表3-2所示中汇总了以上各个需要设置的键值项，这些设置使服务器系统可受到最大程度的SYN攻击保护。
表3-2 抵御SYN攻击的注册表项建议值
3.6.4。