SYN Flood es un intento de hacer que el sistema sea inactivo ante el tráfico legítimo enviando una sucesión de solicitudes SYN al sistema objetivo para consumir suficientes recursos del servidor. El handshake de tres vías TCP es la base de esta forma de ataque. Un ataque de inundación SYN funciona al no responder al servidor con el código ACK esperado. El cliente malicioso puede simplemente no enviar el ACK esperado, o al falsificar la dirección IP de origen en el SYN, haciendo que el servidor envíe el SYN-ACK a una dirección IP falsificada, que no enviará un ACK porque "sabe" que nunca envió un SYN. El servidor espera el reconocimiento durante algún tiempo, ya que la congestión de la red simple también podría ser la causa de la falta de ACK. Sin embargo, en un ataque, las conexiones medio abiertas creadas por el cliente malicioso atan recursos en el servidor y pueden eventualmente exceder los recursos disponibles en el servidor. En ese momento, el servidor no puede conectarse a ningún cliente, ya sea legítimo o no. Esto deniega efectivamente el servicio a los clientes legítimos. Algunos sistemas también pueden fallar o colapsar cuando otras funciones del sistema operativo se ven privadas de recursos de esta manera.