Layer 7 और Layer 3/4 DDoS attacks में क्या अंतर है, और mitigations अलग क्यों होते हैं?

Question

Accepted Answer

अंतर इस बात पर आ टिकता है कि **attack stack के किस हिस्से का दुरुपयोग करता है**, और यही तय करता है कि आप उसे कैसे detect और रोकते हैं। Layer 3/4 attacks **कच्ची मात्रा** के बारे में हैं; Layer 7 attacks **महंगी, वास्तविक-दिखने वाली requests** के बारे में हैं।

## Layer 3/4 — volumetric / network attacks

ये **network और transport layers** को target करते हैं और आपकी application logic के बजाय bandwidth को संतृप्त करने या connection state को खत्म करने की कोशिश करते हैं।

- **SYN flood** — TCP handshakes खोलता है पर कभी पूरा नहीं करता, connection table को भर देता है जब तक वैध clients connect नहीं कर पाते।
- **UDP flood** — random ports पर UDP packets की बौछार करता है, host को process करने और जवाब देने पर मजबूर करता है।
- **Amplification / reflection** (DNS, NTP, memcached) — victim के IP को spoof करता है ताकि छोटी queries victim की ओर निर्देशित बड़े replies trigger करें, attacker के bandwidth को 50-500x गुणा कर दें।

**Mitigation** packets को सोखने या filter करने के बारे में है: **SYN cookies** (ताकि handshake पूरा होने तक server कोई state न रखे), flood को वैश्विक क्षमता में फैलाने और साफ़ करने के लिए **anycast + scrubbing centers**, और spoofed या junk packets को आप तक पहुँचने से पहले गिराने के लिए **upstream/ISP filtering**। packets स्वयं स्पष्ट रूप से विकृत या अवांछित होते हैं, इसलिए filtering यांत्रिक है।

## Layer 7 — application attacks

ये **application layer (HTTP)** को ऐसी requests से target करते हैं जो पूरी तरह वैध दिखती हैं।

- **HTTP flood** — वास्तविक endpoints (`GET /search?q=...`, `POST /login`) को flood करता है ताकि हर request एक database query, render, या auth check पर मजबूर करे।

खतरा **असममितता (asymmetry)** है: एक छोटी request आपको एक भारी query में पड़ सकती है, इसलिए कहीं कम bandwidth आपको down कर देती है। और चूँकि हर request well-formed है, packet filtering इसे एक वास्तविक user से अलग नहीं कर सकता।

**Mitigation** filtering से अधिक समझदार होना चाहिए: दुर्भावनापूर्ण patterns मिलाने के लिए एक **WAF**, प्रति IP/user/token **rate limiting**, और bots को humans से अलग करने के लिए **behavioral analysis** (challenge pages, JS/CAPTCHA, fingerprinting)।

## detection अलग क्यों होती है

```text
Layer 3/4 : detect by VOLUME + protocol anomalies -> filter/absorb packets (cheap to spot)
Layer 7   : detect by BEHAVIOR (looks like real traffic) -> needs request-level intelligence
```

## यह क्यों महत्वपूर्ण है

आप दोनों की रक्षा एक ही tool से नहीं कर सकते। एक scrubbing center जो 1 Tbps UDP flood को कुचल देता है, वह 50,000-request-per-second HTTP flood को गुज़र जाने देगा, क्योंकि हर request वैध दिखती है। senior engineers पहले layer पहचानते हैं, फिर मिलते-जुलते control तक पहुँचते हैं — volumetric attacks के लिए packet-level scrubbing और anycast, और application floods के लिए request-level WAF, rate limiting, व behavioral challenges।