Quelle est la différence entre les attaques DDoS de couche 7 et de couche 3/4, et pourquoi les atténuations diffèrent-elles?

Question

Accepted Answer

La différence réside dans **quelle partie de la pile l'attaque exploite**, et cela détermine comment vous la détectez et l'arrêtez. Les attaques de couche 3/4 portent sur **le volume brut** ; les attaques de couche 7 portent sur **des requêtes coûteuses et réalistes**.

## Couche 3/4 — attaques volumétriques / réseau

Ces attaques ciblent les **couches réseau et transport** et tentent de saturer la bande passante ou d'épuiser l'état de la connexion, non votre logique applicative.

- **Inondation SYN** — ouvre des handshakes TCP mais ne les complète jamais, remplissant la table de connexion jusqu'à ce que les clients légitimes ne puissent plus se connecter.
- **Inondation UDP** — envoie des paquets UDP en rafales vers des ports aléatoires, forçant l'hôte à les traiter et à répondre.
- **Amplification / réflexion** (DNS, NTP, memcached) — usurpe l'IP de la victime pour que de petites requêtes déclenchent des réponses énormes dirigées vers la victime, multipliant la bande passante de l'attaquant par 50 à 500x.

**L'atténuation** consiste à absorber ou filtrer les paquets : **cookies SYN** (pour que le serveur ne conserve aucun état jusqu'à la fin du handshake), **anycast + centres de nettoyage** pour disperser et nettoyer l'inondation sur une capacité mondiale, et **filtrage en amont/ISP** pour rejeter les paquets usurpés ou indésirables avant qu'ils ne vous atteignent. Les paquets eux-mêmes sont manifestement malformés ou non sollicités, donc le filtrage est mécanique.

## Couche 7 — attaques applicatives

Ces attaques ciblent la **couche application (HTTP)** avec des requêtes qui semblent complètement légitimes.

- **Inondation HTTP** — inonde des points de terminaison réels (`GET /search?q=...`, `POST /login`) afin que chaque requête force une requête de base de données, un rendu ou une vérification d'authentification.

Le danger est l'**asymétrie** : une petite requête peut vous coûter une requête lourde, donc bien moins de bande passante vous met hors service. Et parce que chaque requête est bien formée, le filtrage de paquets ne peut pas la distinguer d'un utilisateur réel.

**L'atténuation** doit être plus intelligente que le filtrage : un **WAF** pour correspondre aux modèles malveillants, **limitation de débit** par IP/utilisateur/token, et **analyse comportementale** (pages de défi, JS/CAPTCHA, fingerprinting) pour distinguer les bots des humains.

## Pourquoi la détection diffère

```text
Layer 3/4 : detect by VOLUME + protocol anomalies -> filter/absorb packets (cheap to spot)
Layer 7   : detect by BEHAVIOR (looks like real traffic) -> needs request-level intelligence
```

## Pourquoi c'est important

Vous ne pouvez pas défendre les deux avec un seul outil. Un centre de nettoyage qui écrase une inondation UDP de 1 Tbps laissera passer une inondation HTTP de 50 000 requêtes par seconde, parce que chaque requête semble valide. Les ingénieurs seniors identifient d'abord la couche, puis recourent au contrôle correspondant — nettoyage au niveau des paquets et anycast pour les attaques volumétriques, WAF au niveau des requêtes, limitation de débit et défis comportementaux pour les inondations applicatives.