I cookie SYN sono una difesa TCP contro i flood di handshake di connessione incompleti. Invece di riservare spazio per lo stato della connessione quando un server riceve un pacchetto SYN, il server codifica le informazioni necessarie nella risposta SYN-ACK. Crea lo stato della connessione solo se il client restituisce un ACK valido.
Questo riduce la pressione sulla memoria e sulla coda delle connessioni causata da client con indirizzi falsificati o che non rispondono durante un flood SYN. I cookie SYN non bloccano tutti gli attacchi denial-of-service: sono pensati per gli handshake in attesa, a metà apertura, non per un gran numero di sessioni TCP completamente stabilite o di lunga durata. I difensori dovrebbero quindi monitorare sia le code degli handshake sia le risorse per le connessioni stabilite e usare i cookie SYN insieme ad altri controlli della capacità e del traffico.