რა განსხვავებაა Layer 7 და Layer 3/4 DDoS თავდასხმებს შორის, და რატომ განსხვავდება მათი აღკვეთის მეთოდოლოგია?

Question

IT Interview Practice · Accepted Answer

განსხვავება დამოკიდებულია **სტეკის რომელი ნაწილის სამიზნე აღმზე**, და ეს განსაზღვრავს როგორ აღმოაჩინო და შეაჩერო თავდასხმა. Layer 3/4 თავდასხმები არის **ნედლი მოცულობის** შესახებ; Layer 7 თავდასხმები არის **महาგალი, რეალისტურად გამოიყურებული მოთხოვნების** შესახებ.

## Layer 3/4 — ვოლუმეტრული / ქსელის თავდასხმები

ეს ქვემდებარებენ **ქსელისა და ტრანსპორტის ფენებს** და ცდილობენ გამშვიდობოს სიგანე ზოლი ან ამოწურონ კავშირის მდგომარეობა, არა თქვენი აპლიკაციის ლოგიკა.

- **SYN flood** — აღებს TCP handshakes-ს მაგრამ არასოდეს ასრულებს მათ, აკავებს კავშირის ცხრილი სანამ ლეგიტიმური კლიენტები ვერ შეუძლიათ დაკავშირება.
- **UDP flood** — ისროლის UDP პაკეტებს შემთხვევითი პორტებზე, აიძულებს ჰოსტს მათი დამუშავება და პასუხის გაცემა.
- **Amplification / reflection** (DNS, NTP, memcached) — სპუფია მსხვერპლის IP ისე რომ მცირე queries აწამებენ უზარმაზარ პასუხებს მიმართული მსხვერპლისკენ, გამრავლდა თავდამსხმელის სიგანე ზოლი 50-500x.

**აღკვეთა** არის პაკეტების შთამნთქმა ან ფილტრაცია: **SYN cookies** (ისე რომ სერვერი არ ქონდეს მდგომარეობა handshake დასრულებამდე), **anycast + scrubbing centers** გავრცელება და დაზღვევა flood გლობალური სიმძლავრის ზე, და **upstream/ISP ფილტრაცია** მოკვლა spoofed ან ნაგვის პაკეტები მანამ სანამ მიდიან თქვენთან. პაკეტები თავისთავად აშკარად არის გაკუფლული ან დაუკანი, ასე რომ ფილტრაცია არის მექანიკური.

## Layer 7 — აპლიკაციის თავდასხმები

ეს სამიზნე **აპლიკაციის ფენა (HTTP)** მოთხოვნებით რომლებიც ზუსტად ლეგიტიმური გამოიყურებიან.

- **HTTP flood** — აკრძალავს რეალურ ენდპოინტებს (`GET /search?q=...`, `POST /login`) ისე რომ თითოეული მოთხოვნა აიძულებს ბაზაში გამოთხოვა, render, ან auth check.

მეტალოდე **ასიმეტრია**: პატარა მოთხოვნა შეიძლება დაგიჯდეს ძნელი query, ამიტომ ბევრი ნაკლები სიგანე ზოლი გაგიკოტებს. და რადგან თითოეული მოთხოვნა კარგი ფორმატით არის, პაკეტის ფილტრაცია ვერ გამიჯნო მას რეალური მომხმარებლისგან.

**აღკვეთა** უნდა იყოს უფრო ჭკვიანი ვიდრე ფილტრაცია: **WAF** შესატყვისი მავნე შაბლონებს, **rate limiting** IP/user/token ზე, და **behavioral analysis** (challenge pages, JS/CAPTCHA, fingerprinting) განცალკევება ბოტებ ადამიანებისგან.

## რატომ განსხვავდება აღმოჩენა

```text
Layer 3/4 : detect by VOLUME + protocol anomalies -> filter/absorb packets (cheap to spot)
Layer 7   : detect by BEHAVIOR (looks like real traffic) -> needs request-level intelligence
```

## რატომ მნიშვნელოვანია

ვერ დაგიცავ ორივე ერთი ხელსაწყოთი. scrubbing center რომელიც დამსხმელი 1 Tbps UDP flood ის ალუბლის ტალღის მეშვეობით 50,000-request-per-second HTTP flood, რადგან თითოეული მოთხოვნა ჩანს valid. უფროსი ინჟინრები იდენტიფიცირებენ ფენას პირველ რიგში, შემდეგ მიმართებენ შესატყვის კონტროლს — პაკეტის დონის scrubbing და anycast volumetric თავდასხმებისთვის, request-level WAF, rate limiting, და behavioral challenges აპლიკაციის floods ზე.

Layer 3/4 — ვოლუმეტრული / ქსელის თავდასხმები

Layer 7 — აპლიკაციის თავდასხმები

რატომ განსხვავდება აღმოჩენა

რატომ მნიშვნელოვანია

დაკავშირებული კითხვები