Apa perbedaan antara serangan DDoS Layer 7 dan Layer 3/4, dan mengapa mitigasi berbeda?

Question

Accepted Answer

Perbedaannya terletak pada **bagian stack mana yang diserang**, dan itu menentukan cara Anda mendeteksi dan menghentikannya. Serangan Layer 3/4 adalah tentang **volume mentah**; serangan Layer 7 adalah tentang **permintaan yang expensive dan terlihat realistis**.

## Layer 3/4 — volumetric / network attacks

Serangan ini menargetkan **network dan transport layers** dan mencoba menghabiskan bandwidth atau menguras connection state, bukan logika aplikasi Anda.

- **SYN flood** — membuka TCP handshakes tetapi tidak pernah menyelesaikannya, mengisi connection table sampai klien legitimate tidak dapat terhubung.
- **UDP flood** — mengirim UDP packets ke port random, memaksa host untuk memproses dan membalas.
- **Amplification / reflection** (DNS, NTP, memcached) — memalsukan IP korban sehingga query kecil memicu balasan besar yang ditujukan ke korban, mengalikan bandwidth penyerang 50-500x.

**Mitigation** adalah tentang menyerap atau memfilter packets: **SYN cookies** (sehingga server tidak menyimpan state sampai handshake selesai), **anycast + scrubbing centers** untuk menyebarkan dan membersihkan banjir di seluruh kapasitas global, dan **upstream/ISP filtering** untuk menghapus spoofed atau junk packets sebelum mencapai Anda. Packet itu sendiri jelas malformed atau unsolicited, jadi filtering adalah mekanis.

## Layer 7 — application attacks

Serangan ini menargetkan **application layer (HTTP)** dengan permintaan yang terlihat sepenuhnya legitimate.

- **HTTP flood** — membanjiri endpoint real (`GET /search?q=...`, `POST /login`) sehingga setiap permintaan memaksa database query, render, atau auth check.

Bahayanya adalah **asymmetry**: permintaan kecil dapat merugikan Anda dengan query berat, jadi bandwidth jauh lebih sedikit untuk membuat Anda jatuh. Dan karena setiap permintaan well-formed, packet filtering tidak dapat membedakannya dari pengguna nyata.

**Mitigation** harus lebih cerdas daripada filtering: **WAF** untuk mencocokkan malicious patterns, **rate limiting** per IP/user/token, dan **behavioral analysis** (challenge pages, JS/CAPTCHA, fingerprinting) untuk memisahkan bot dari manusia.

## Why detection differs

```text
Layer 3/4 : detect by VOLUME + protocol anomalies -> filter/absorb packets (cheap to spot)
Layer 7   : detect by BEHAVIOR (looks like real traffic) -> needs request-level intelligence
```

## Mengapa ini penting

Anda tidak dapat membela keduanya dengan satu alat. Scrubbing center yang menghancurkan UDP flood 1 Tbps akan melewatkan HTTP flood 50,000-request-per-second, karena setiap permintaan terlihat valid. Senior engineers mengidentifikasi layer terlebih dahulu, kemudian menggunakan kontrol yang sesuai — packet-level scrubbing dan anycast untuk volumetric attacks, request-level WAF, rate limiting, dan behavioral challenges untuk application floods.