关于防SYNFlood　DOS的一个问题

问题是这样的，就拿天网防火墙来说，如果是一个正常的TCP连接，那也是一个带SYN的TCP包，然后防火墙不会报任何信息就直接连上去了，但是如果写个专门发SYN包的程序向它发时那天网防火墙就会报攻击信息了，请问这是怎么实现的？也就是怎么判断是正常的SYN　TCP连接还是带攻击性的SYN连接？