options TCP_DROP_SYNFIN にして、/etc/rc.conf で
tcp_drop_synfin="YES" ぐらいはしたほうがいいのかなぁ。
でも、Web serverではやらないほうがいいという話もあるし、どうなのかな。

/etc/rc.conf では他に、

log_in_vain="1"
icmp_drop_redirect="YES"
icmp_log_redirect="YES"

ぐらいかしら。

/etc/sysctl.conf 的には >>834 の他に、
net.inet.tcp.blackhole=2
net.inet.udp.blackhole=1
とかしとくといいのかな。

他に何かありましたっけ。