Apakah perbezaan antara serangan DDoS Layer 7 dan Layer 3/4, dan mengapa mitigasinya berbeza?

Question

Accepted Answer

Perbezaannya terletak pada **bahagian stack mana yang disalahgunakan oleh serangan**, dan itu menentukan cara anda mengesan dan menghentikannya. Serangan Layer 3/4 berkenaan **isi padu mentah (raw volume)**; serangan Layer 7 berkenaan **permintaan yang mahal dan kelihatan realistik**.

## Layer 3/4 — serangan volumetrik / rangkaian

Ini menyasarkan **lapisan rangkaian dan pengangkutan** dan cuba menepukan lebar jalur (bandwidth) atau menghabiskan keadaan sambungan, bukan logik aplikasi anda.

- **SYN flood** — membuka jabat tangan TCP tetapi tidak pernah melengkapkannya, memenuhi jadual sambungan sehingga klien yang sah tidak dapat menyambung.
- **UDP flood** — menembak paket UDP ke port rawak, memaksa hos memproses dan membalas.
- **Amplification / reflection** (DNS, NTP, memcached) — memalsukan IP mangsa supaya query kecil mencetuskan balasan besar yang ditujukan kepada mangsa, menggandakan bandwidth penyerang 50-500x.

**Mitigasi** adalah tentang menyerap atau menapis paket: **SYN cookies** (supaya pelayan tidak menyimpan keadaan sehingga jabat tangan selesai), **anycast + scrubbing centers** untuk menyebar dan membersihkan banjir merentasi kapasiti global, dan **penapisan upstream/ISP** untuk menjatuhkan paket palsu atau sampah sebelum ia sampai kepada anda. Paket-paket itu sendiri jelas cacat atau tidak diminta, jadi penapisan adalah mekanikal.

## Layer 7 — serangan aplikasi

Ini menyasarkan **lapisan aplikasi (HTTP)** dengan permintaan yang kelihatan sah sepenuhnya.

- **HTTP flood** — membanjiri endpoint sebenar (`GET /search?q=...`, `POST /login`) supaya setiap permintaan memaksa pertanyaan pangkalan data, render, atau semakan auth.

Bahayanya ialah **ketidaksimetrian (asymmetry)**: permintaan kecil boleh mengenakan kos pertanyaan yang berat kepada anda, jadi bandwidth yang jauh lebih sedikit boleh menumbangkan anda. Dan kerana setiap permintaan terbentuk dengan baik, penapisan paket tidak dapat membezakannya daripada pengguna sebenar.

**Mitigasi** mestilah lebih bijak daripada penapisan: sebuah **WAF** untuk memadankan corak berniat jahat, **rate limiting** setiap IP/pengguna/token, dan **analisis tingkah laku** (halaman cabaran, JS/CAPTCHA, fingerprinting) untuk memisahkan bot daripada manusia.

## Mengapa pengesanan berbeza

```text
Layer 3/4 : detect by VOLUME + protocol anomalies -> filter/absorb packets (cheap to spot)
Layer 7   : detect by BEHAVIOR (looks like real traffic) -> needs request-level intelligence
```

## Mengapa ia penting

Anda tidak boleh mempertahankan kedua-duanya dengan satu alat. Sebuah scrubbing center yang menghancurkan UDP flood 1 Tbps akan membenarkan HTTP flood 50,000 permintaan-sesaat lalu, kerana setiap permintaan kelihatan sah. Jurutera kanan mengenal pasti lapisannya dahulu, kemudian mencapai kawalan yang sepadan — scrubbing peringkat paket dan anycast untuk serangan volumetrik, WAF peringkat permintaan, rate limiting, dan cabaran tingkah laku untuk banjir aplikasi.