Mi a különbség a Layer 7 és a Layer 3/4 DDoS támadások között, és miért térnek el a védelmi megoldások?

Question

Accepted Answer

A különbség abban rejlik, **hogy a stack mely része az áldozata a támadásnak**, és ez határozza meg, hogyan detektálhatod és állíthatod meg. A Layer 3/4-es támadások a **nyers volumenről** szólnak; a Layer 7-es támadások pedig **költséges, valósnak tűnő kérésekről**.

## Layer 3/4 — volumetrikus / hálózati támadások

Ezek a **hálózati és szállítási rétegeket** támadják meg, és azt próbálják meg, hogy telítsék a sávszélességet vagy kimerítsenek kapcsolatállapotot, nem az alkalmazáslogikát.

- **SYN flood** — TCP handshake-eket nyit meg, de soha nem fejezi be őket, így teletöltve a kapcsolattáblázatot, amíg az érvényes ügyfelek nem tudnak csatlakozni.
- **UDP flood** — UDP csomagokat küld véletlen portokra, kényszerítve az állomást, hogy feldolgozza és válaszoljon.
- **Amplifikáció / reflexió** (DNS, NTP, memcached) — az áldozat IP-címét hamisítja, így az apró lekérdezések hatalmas válaszokat váltanak ki az áldozat felé irányítva, szorzva az támadó sávszélességét 50-500x-szel.

**Védelme** a csomagok elnyeléséről vagy szűréséről szól: **SYN cookies** (így a szerver nem tárol állapotot, amíg a handshake befejeződik), **anycast + scrubbing centerek** a flood terjedéséhez és tisztításához globális kapacitás között, valamint **upstream/ISP szűrés** a meghamisított vagy hulladék csomagok eldobásához, mielőtt elérnek hozzád. A csomagok maguk nyilvánvalóan helytelenül formázottak vagy unsolicited, így a szűrés mechanikus.

## Layer 7 — alkalmazási támadások

Ezek az **alkalmazási réteg (HTTP)** támadják meg teljes mértékben legitim kérésekkel.

- **HTTP flood** — valódi végpontokat árasztanak el (`GET /search?q=...`, `POST /login`), így minden kérés adatbázis-lekérdezést, renderelést vagy hitelesítés-ellenőrzést kényszerít ki.

A veszély az **aszimmetria**: egy apró kérés sok költséggel járhat számodra, így sokkal kevesebb sávszélesség szükséges a lezáráshoz. És mivel minden kérés jól formázott, a csomagszűrés nem tudja megkülönböztetni egy valódi felhasználótól.

**Védelme** okosabbnak kell lennie, mint a szűrés: egy **WAF** a rosszindulatú minták felismeréséhez, **rate limiting** IP/felhasználó/token alapján, valamint **viselkedéselemzés** (challenge oldalak, JS/CAPTCHA, ujjlenyomatok) a botok és emberek szétválasztásához.

## Miért térnek el az érzékelési módszerek

```text
Layer 3/4 : detect by VOLUME + protocol anomalies -> filter/absorb packets (cheap to spot)
Layer 7   : detect by BEHAVIOR (looks like real traffic) -> needs request-level intelligence
```

## Miért fontos

Nem védheted mindkettőt egy eszközzel. Az egy 1 Tbps UDP floodot összezúzó scrubbing center átengedi a 50 000 kérés per másodperc HTTP floodot, mert minden kérés érvényesnek tűnik. A senior mérnökök előbb azonosítják a réteget, majd rákérnék a megfelelő kontrollra — csomagszintű scrubbing és anycast a volumetrikus támadásokhoz, kérésszintű WAF, rate limiting és viselkedéses kihívások az alkalmazásfloodokhoz.