Layer 7과 Layer 3/4 DDoS 공격의 차이는 무엇이며, 왜 완화 방식이 다른가요?

Question

Accepted Answer

차이는 **공격이 스택의 어느 부분을 악용하는가**로 귀결되며, 그것이 탐지와 차단 방법을 결정합니다. Layer 3/4 공격은 **순수 볼륨**에 관한 것이고, Layer 7 공격은 **비싸고 실제처럼 보이는 요청**에 관한 것입니다.

## Layer 3/4 — 볼류메트릭 / 네트워크 공격

이들은 애플리케이션 로직이 아니라 **네트워크 및 전송 계층**을 노려 대역폭을 포화시키거나 연결 상태를 고갈시키려 합니다.

- **SYN flood** — TCP 핸드셰이크를 열지만 절대 완료하지 않아, 정당한 클라이언트가 연결할 수 없을 때까지 연결 테이블을 채웁니다.
- **UDP flood** — 무작위 포트로 UDP 패킷을 퍼부어 호스트가 처리하고 응답하도록 강제합니다.
- **Amplification / reflection** (DNS, NTP, memcached) — 피해자의 IP를 위조해 작은 쿼리가 피해자를 향한 거대한 응답을 유발하게 하여, 공격자 대역폭을 50-500배로 증폭합니다.

**완화**는 패킷을 흡수하거나 필터링하는 것입니다: **SYN cookies**(핸드셰이크가 완료될 때까지 서버가 상태를 보유하지 않음), **anycast + scrubbing center**로 전 세계 용량에 flood를 분산·정화, 그리고 **upstream/ISP 필터링**으로 위조되거나 쓰레기인 패킷을 당신에게 닿기 전에 drop. 패킷 자체가 명백히 변형되었거나 요청되지 않은 것이므로 필터링은 기계적입니다.

## Layer 7 — 애플리케이션 공격

이들은 완전히 정당해 보이는 요청으로 **애플리케이션 계층(HTTP)**을 노립니다.

- **HTTP flood** — 실제 엔드포인트(`GET /search?q=...`, `POST /login`)를 범람시켜 각 요청이 데이터베이스 쿼리, 렌더링, 또는 인증 검사를 강제하게 합니다.

위험은 **비대칭성**입니다. 작은 요청 하나가 무거운 쿼리를 유발할 수 있으므로 훨씬 적은 대역폭으로도 당신을 무너뜨립니다. 그리고 각 요청이 올바른 형식이라 패킷 필터링은 실제 사용자와 구별할 수 없습니다.

**완화**는 필터링보다 똑똑해야 합니다: 악성 패턴을 매칭하는 **WAF**, IP/user/token별 **rate limiting**, 그리고 봇과 사람을 분리하는 **행동 분석**(챌린지 페이지, JS/CAPTCHA, fingerprinting).

## 왜 탐지가 다른가

```text
Layer 3/4 : 볼륨 + 프로토콜 이상으로 탐지 -> 패킷 필터/흡수 (찾기 쉬움)
Layer 7   : 행동으로 탐지 (실제 트래픽처럼 보임) -> 요청 수준 지능 필요
```

## 왜 중요한가

하나의 도구로 둘 다 방어할 수 없습니다. 1 Tbps UDP flood를 분쇄하는 scrubbing center는 초당 5만 요청의 HTTP flood를 그냥 통과시킵니다. 각 요청이 유효해 보이기 때문입니다. 시니어 엔지니어는 먼저 계층을 식별한 뒤 그에 맞는 통제를 꺼냅니다 — 볼류메트릭 공격에는 패킷 수준 scrubbing과 anycast, 애플리케이션 flood에는 요청 수준 WAF, rate limiting, 행동 챌린지.