SYNフラッド攻撃とティアドロップ攻撃は、悪意のあるトラフィックやリクエストを大量に送りつけることで、サービスやシステムの可用性を低下させることを目的とした2種類のサービス拒否（DoS）攻撃です。SYNフラッド攻撃は、TCPの3ウェイハンドシェイクプロセスを悪用し、大量のSYNパケットをターゲットのポートに送信しますが、接続は完了しません。これにより、ターゲットはハーフオープン接続にリソースを割り当て、最終的にはメモリや帯域幅を枯渇させます。ティアドロップ攻撃は、IPフラグメント化プロセスを悪用し、不正な形式または重複したIPフラグメントをターゲットに送信します。これにより、ターゲットはフラグメントを再構成しようとする際にクラッシュまたは再起動を引き起こします。参考資料：Cisco Cyber​​security Operations Fundamentals、モジュール1：セキュリティの概念、レッスン1.3：一般的なネットワークアプリケーションの運用と攻撃、トピック1.3.4：サービス拒否攻撃

* The exhibit shows a pcap file capturing multiple TCP SYN packets directed at the same destination IP address.
* High volume of SYN packets with very little variance in time: This pattern is indicative of a SYN flood attack, a type of Denial of Service(DoS) attack where numerous SYN requests are sent to overwhelm the target system.
* SYN packets acknowledged from several source IP addresses: This can be indicative of a Distributed Denial of Service (DDoS) attack where multiple compromised hosts (botnet) are used to generate traffic.
* These characteristics suggest that the network is under a SYN flood or DDoS attack, aiming to exhaust the target's resources and disrupt service availability.
References
* Understanding SYN Flood Attacks
* Analysis of DDoS Attack Patterns
* Wireshark Analysis Techniques for Intrusion Detection

The discrepancy described suggests that the system had a Host Intrusion Detection System (HIDS) installed. HIDS are designed to monitor and analyze the internals of a computing system for signs of intrusion and policy violations. While they can detect unauthorized activities, they do not take direct action to stop an attack; this is typically the role of an intrusion prevention system. Therefore, the alert was generated, but no mitigation action was taken because the HIDS does not have the capability to intervene.
References := The Understanding Cisco Cybersecurity Operations Fundamentals (CBROPS) course material covers the functions and limitations of various security systems, including HIDS, and their role within a Security Operations Center (SOC)1.

エージェントベースの監視：エージェントベースの監視では、監視対象のシステムまたはデバイスにソフトウェアエージェントがインストールされます。これらのエージェントは、ローカルでデータを収集し、データのフィルタリングまたは前処理を行った後、関連性の高い情報や有用な情報を監視システムに送信します。エージェントベースの監視では、ローカルでの処理とフィルタリングが可能であるため、必要なデータのみを送信することでネットワーク負荷を軽減できます。
エージェントレス監視：一方、エージェントレス監視では、監視対象のシステムやデバイスにソフトウェアエージェントをインストールする必要がありません。API（アプリケーションプログラミングインターフェース）やSNMP（簡易ネットワーク管理プロトコル）などの既存のプロトコルやインターフェースを活用して、対象システムからリモートで監視データにアクセスし、取得します。エージェントレス監視では、監視システムがネットワーク経由でリモートシステムからデータを収集する必要があるため、一般的にネットワークの使用率が高くなります。

/var/log/auth.log ファイルには、Linux システムにおける認証および認可イベントに関する情報（ログインの成功と失敗、sudo コマンド、SSH セッションなど）が含まれています。この出力は、「root」というユーザーによる SSH を使用したログイン試行の失敗を示しています。参考資料: https://www.cisco.com/c/en/us
/td/docs/security/ise/2-4/admin_guide/b_ise_admin_guide_24/b_ise_admin_guide_24_new_chapter_01101。
html