O SYN Flood é uma tentativa de tornar o sistema não responsivo ao tráfego legítimo, enviando uma sucessão de solicitações SYN para o sistema de destino para consumir recursos suficientes do servidor. O handshake de três vias TCP é a base desta forma de ataque. Um ataque de inundação SYN funciona ao não responder ao servidor com o código ACK esperado. O cliente malicioso pode simplesmente não enviar o ACK esperado ou, falsificando o endereço IP de origem no SYN, fazendo com que o servidor envie o SYN-ACK para um endereço IP falsificado, que não enviará um ACK porque "sabe" que nunca enviou um SYN. O servidor aguardará o reconhecimento por algum tempo, pois uma simples congestão de rede também pode ser a causa da ausência do ACK. No entanto, em um ataque, as conexões meio abertas criadas pelo cliente malicioso vinculam recursos no servidor e podem eventualmente exceder os recursos disponíveis no servidor. Nesse ponto, o servidor não pode se conectar a nenhum cliente, seja legítimo ou não. Alguns sistemas também podem apresentar falhas ou travamentos quando outras funções do sistema operacional são privadas de recursos dessa forma.