É ativado somente após o ataque iniciar e ocorrer um princípio de sobrecarga do serviço (vide o comentário no arquivo /etc/sysctl.d/10-network-security.conf).
Atualmente há um conjunto de novos recursos que possibilitam ao kernel defender-se muito bem de ataques, mesmo com o recurso contra "SYN Flood" desativado.
O foco de ataques "SYN Flood" são servidores: é muitíssimo baixa a possibilidade de um computador doméstico vir a ser alvo de um ataque desses.