Ni nini tofauti kati ya midakano ya Layer 7 na Layer 3/4 DDoS, na kwa nini mitigations ni tofauti?

Question

Accepted Answer

Tofauti inakuja chini kwa **sehemu ipi ya stack ambayo shambuzi linavamia**, na hiyo ndiyo inayoamua jinsi unavyogundua na kusimamia. Midakano ya Layer 3/4 ni kuhusu **kiasi kikubwa cha data**; midakano ya Layer 7 ni kuhusu **ombi la ghali na linalolingana na halisi**.

## Layer 3/4 — midakano ya volumetric / network

Hii inadhania **viwango vya network na transport** na inajaribu kusawaza bandwidth au kukosa hali ya muunganisho, sio mantiki yako ya programu.

- **SYN flood** — inafungua handshakes za TCP lakini haizikamilishi, inajaza jedwali la muunganisho mpaka wateja halisi haiwezi kuunganisha.
- **UDP flood** — inapiga pakiti za UDP kwa milangani ya nasibu, ikiwalazimisha mashajifunza kusindika na kujibu.
- **Amplification / reflection** (DNS, NTP, memcached) — inaiga IP ya mpokeaji ili maombi madogo yasababishe majibu makubwa yanayolekeleza mpokeaji, na kuongeza bandwidth ya mjumbe mara 50-500x.

**Mitigation** ni kuhusu kunyonyoa au kukamatia pakiti: **SYN cookies** (hivyo seva haiandiki hali hadi handshake inakamilika), **anycast + scrubbing centers** kupanua na kusafisha mafuriko mahali pa ulimwengu, na **upstream/ISP filtering** kudondosha pakiti za ujinga au zisizohitajika kabla hazikafikii. Pakiti zenyewe ni isiyohafu au haijatakiwi, kwa hivyo kuchuja ni kazi ya mashine.

## Layer 7 — midakano ya programu

Hii inadhania **viwango vya programu (HTTP)** na ombi ambalo linaonekana halisi kabisa.

- **HTTP flood** — inapiga mafuriko ya endpoints halisi (`GET /search?q=...`, `POST /login`) kila ombi hulazimisha swali la hifadhidata, muundo, au ukaguzi wa ushahidi.

Khatari ni **asymmetry**: ombi dogo linaweza kukufa kwa swali kubwa, kwa hivyo bandwidth ya chini sana kukufa. Na kwa sababu kila ombi linaundwa vizuri, kuchuja pakiti haliwezi kutofautiana na mtumiaji halisi.

**Mitigation** lazima iwe akili kuliko kuchuja: **WAF** kupatiana na mifumo hatari, **rate limiting** kwa IP/mtumiaji/token, na **behavioral analysis** (kurasa za changamoto, JS/CAPTCHA, fingerprinting) kusambaza robots kutoka kwa wanadamu.

## Kwa nini gunduzi ni tofauti

```text
Layer 3/4 : detect by VOLUME + protocol anomalies -> filter/absorb packets (cheap to spot)
Layer 7   : detect by BEHAVIOR (looks like real traffic) -> needs request-level intelligence
```

## Kwa nini ni muhimu

Hauwezi kulinda kwa chombo kimoja. Kituo cha kusafisha ambacho kinapiga mafuriko ya UDP ya 1 Tbps kitakosa mafuriko ya ombi 50,000-kwa-sekunde ya HTTP, kwa sababu kila ombi linaonekana halisi. Wainjinieri wakubwa wagundua viwango kwanza, kisha wanakamatia kontrol inayolingana — kuchuja kwa kiwango cha pakiti na anycast kwa midakano ya volumetric, WAF kwa kiwango cha ombi, rate limiting, na changamoto za mienendo kwa mafuriko ya programu.