Layer 7とLayer 3/4のDDoS攻撃の違いは何か、またなぜ対策が異なるのか。

Question

Accepted Answer

違いは**スタックのどの部分が悪用されるか**に起因し、それが検出と防止の方法を決定します。Layer 3/4攻撃は**生のボリューム**に関するもの、Layer 7攻撃は**コストの高い、現実的に見えるリクエスト**に関するものです。

## Layer 3/4 — ボリューム型/ネットワーク攻撃

これらは**ネットワークおよびトランスポート層**をターゲットにし、アプリケーションロジックではなく、帯域幅を飽和させるか接続状態を枯渇させようとします。

- **SYN flood** — TCP ハンドシェイクを開始しますが完了させず、接続テーブルを満杯にして正当なクライアントが接続できないようにします。
- **UDP flood** — ランダムポートに UDP パケットを大量送信し、ホストが処理して応答するよう強制します。
- **増幅/リフレクション攻撃**（DNS、NTP、memcached）— 被害者の IP をスプーフしし、小さなクエリが被害者をターゲットにした巨大な応答を生成するようにし、攻撃者の帯域幅を 50～500 倍に増幅します。

**対策**はパケットの吸収またはフィルタリングに関するもの：**SYN cookies**（ハンドシェイク完了までサーバーが状態を保持しないようにする）、**エニキャスト + スクラビングセンター**で洪水をグローバルキャパシティ全体に分散・クリーニングする、および**上流/ISP フィルタリング**でスプーフされた不正なパケットを到達前にドロップします。パケット自体は明らかに不正形式または無配信なので、フィルタリングは機械的です。

## Layer 7 — アプリケーション攻撃

これらは**アプリケーション層（HTTP）**をターゲットにし、完全に正当に見えるリクエストで攻撃します。

- **HTTP flood** — 実際のエンドポイント（`GET /search?q=...`、`POST /login`）に大量のリクエストを送信し、各リクエストがデータベースクエリ、レンダリング、または認証チェックを強制します。

危険は**非対称性**です。小さなリクエストが大きなコストのクエリを強制することができ、はるかに少ない帯域幅でシステムダウンさせられます。また、各リクエストは整形式なので、パケットフィルタリングでは実ユーザーと区別できません。

**対策**はフィルタリングより賢くある必要があります。悪意のあるパターンにマッチさせる **WAF**、IP/ユーザー/トークンごとの**レート制限**、ボットと人間を分離する**振る舞い分析**（チャレンジページ、JS/CAPTCHA、フィンガープリンティング）です。

## なぜ検出が異なるのか

```text
Layer 3/4 : detect by VOLUME + protocol anomalies -> filter/absorb packets (cheap to spot)
Layer 7   : detect by BEHAVIOR (looks like real traffic) -> needs request-level intelligence
```

## なぜ重要なのか

どちらも 1 つのツールでは防御できません。1 Tbps の UDP フラッドを粉砕するスクラビングセンターは 50,000 req/sec の HTTP フラッドを通してしまいます。各リクエストが有効に見えるからです。シニアエンジニアはまずレイヤーを特定し、対応するコントロールに手を伸ばします。ボリューム型攻撃にはパケットレベルのスクラビングとエニキャスト、アプリケーションフラッドにはリクエストレベルの WAF、レート制限、振る舞いチャレンジです。