В обычном режиме принимающий сервер генерирует SYN-ACK пакеты в ответ на входящий SYN-запрос. Во время атаки SYN-ACK Flood, атакуемый сервер оказывается «заваленным» поддельными SYN-ACK пакетами, поступающими в большом количестве. Пытаясь принять решение по каждому SYN-ACK пакету и сопоставить его с одной из записей, хранящихся в таблице соединений, сервер-жертва выделяет вычислительные ресурсы для обработки потока поддельных SYN-ACK пакетов. В итоге происходит то же, что и во время SYN-флуда — перегрузка сервера-жертвы, ведущая к его частичной или полной недоступности.
Возможные способы защиты от атак типа SYN-ACK Flood в основном аналогичны механизмам защиты от SYN Flood. Важно понимать, что для успешной борьбы с SYN-ACK Flood фильтрующему оборудованию для принятия решения необходима информация об исходящих от сервера-жертвы TCP-сессиях.