Het verschil komt neer op welk deel van de stack de aanval misbruikt, en dat bepaalt hoe je het detecteert en stopt. Layer 3/4-aanvallen gaan over ruw volume; Layer 7-aanvallen gaan over dure, realistisch ogende requests.
Het verschil komt neer op welk deel van de stack de aanval misbruikt, en dat bepaalt hoe je het detecteert en stopt. Layer 3/4-aanvallen gaan over ruw volume; Layer 7-aanvallen gaan over dure, realistisch ogende requests.
Deze richten zich op de netwerk- en transportlagen en proberen bandbreedte te verzadigen of verbindingsstatus uit te putten, niet je applicatielogica.
Mitigatie gaat over het absorberen of filteren van pakketten: SYN cookies (zodat de server geen status houdt totdat de handshake is voltooid), anycast + scrubbing centers om de flood over wereldwijde capaciteit te verspreiden en schoon te maken, en upstream/ISP filtering om vervalste of nutteloze pakketten voor ze bij je aankomen weg te gooien. De pakketten zelf zijn duidelijk misvormd of ongewenst, dus filteren is mechanisch.
Deze richten zich op de applicatielaag (HTTP) met requests die volledig legitiem lijken.
GET /search?q=..., POST /login) zodat elke request een databasequery, render of auth check forceert.Het gevaar is asymmetrie: een klein request kan je veel kosten in een zware query, dus veel minder bandbreedte knock je uit. En omdat elke request goed gevormd is, kan pakketten filteren het niet onderscheiden van een echte gebruiker.
Mitigatie moet slimmer zijn dan filteren: een WAF om schadelijke patronen te matchen, rate limiting per IP/user/token, en gedragsanalyse (challenge-pagina's, JS/CAPTCHA, fingerprinting) om bots van mensen te scheiden.
Layer 3/4 : detect by VOLUME + protocol anomalies -> filter/absorb packets (cheap to spot)
Layer 7 : detect by BEHAVIOR (looks like real traffic) -> needs request-level intelligence
Je kunt niet beide met één tool verdedigen. Een scrubbing center die een UDP-flood van 1 Tbps vernietigt, laat een HTTP-flood van 50.000 requests per seconde door, omdat elke request geldig lijkt. Senior engineers identificeren eerst de laag, en grepen dan naar de overeenkomende controle — pakketniveau scrubbing en anycast voor volumetrische aanvallen, verzoeksniveau WAF, rate limiting en gedragsuitdagingen voor applicatiefloden.