Qual è la differenza tra attacchi DDoS Layer 7 e Layer 3/4, e perché le mitigazioni sono diverse?

Question

Accepted Answer

La differenza si riduce a **quale parte dello stack viene sfruttata dall'attacco**, e questo determina come rilevarlo e bloccarlo. Gli attacchi Layer 3/4 riguardano il **volume grezzo**; gli attacchi Layer 7 riguardano **richieste costose e dall'aspetto realistico**.

## Layer 3/4 — attacchi volumetrici / di rete

Questi colpiscono i **livelli di rete e trasporto** e cercano di saturare la larghezza di banda o esaurire lo stato della connessione, non la logica dell'applicazione.

- **SYN flood** — apre handshake TCP ma non li completa mai, riempiendo la tabella delle connessioni fino a quando i client legittimi non possono connettersi.
- **UDP flood** — inonda pacchetti UDP su porte casuali, costringendo l'host a elaborare e rispondere.
- **Amplification / reflection** (DNS, NTP, memcached) — falsifica l'IP della vittima in modo che piccole query inneschino risposte enormi dirette alla vittima, moltiplicando la larghezza di banda dell'attaccante 50-500 volte.

**La mitigazione** riguarda l'assorbimento o il filtraggio dei pacchetti: **SYN cookies** (in modo che il server non mantenga lo stato fino al completamento dell'handshake), **anycast + centri di scrubbing** per distribuire e pulire l'alluvione su capacità globale, e **filtraggio upstream/ISP** per eliminare pacchetti falsificati o inutili prima che raggiungano l'host. I pacchetti stessi sono chiaramente malformati o non richiesti, quindi il filtraggio è meccanico.

## Layer 7 — attacchi applicativi

Questi colpiscono il **livello applicativo (HTTP)** con richieste che sembrano completamente legittime.

- **HTTP flood** — inonda endpoint reali (`GET /search?q=...`, `POST /login`) in modo che ogni richiesta forzi una query del database, un rendering o un controllo di autenticazione.

Il pericolo è l'**asimmetria**: una piccola richiesta può costarti una query pesante, quindi molta meno larghezza di banda ti abbatte. E poiché ogni richiesta è ben formata, il filtraggio dei pacchetti non può distinguerla da un utente reale.

**La mitigazione** deve essere più intelligente del filtraggio: un **WAF** per abbinare pattern dannosi, **rate limiting** per IP/utente/token, e **analisi comportamentale** (pagine di sfida, JS/CAPTCHA, fingerprinting) per separare i bot dagli umani.

## Perché è importante il rilevamento differisce

```text
Layer 3/4 : detect by VOLUME + protocol anomalies -> filter/absorb packets (cheap to spot)
Layer 7   : detect by BEHAVIOR (looks like real traffic) -> needs request-level intelligence
```

## Perché è importante

Non puoi difendere entrambi con uno strumento. Un centro di scrubbing che schiaccia un'alluvione UDP di 1 Tbps lascerà passare un'alluvione HTTP di 50.000 richieste al secondo, perché ogni richiesta sembra valida. Gli ingegneri senior identificano prima il livello, poi ricorrono al controllo corrispondente — scrubbing a livello di pacchetto e anycast per attacchi volumetrici, WAF a livello di richiesta, rate limiting e sfide comportamentali per alluvioni applicative.