Layer 7 和 Layer 3/4 DDoS 攻击有什么区别，为什么防御方式不同？

Question

Accepted Answer

区别在于**攻击针对的是堆栈的哪一部分**，这决定了你如何检测和阻止它。Layer 3/4 攻击是关于**原始流量**；Layer 7 攻击是关于**昂贵且看起来逼真的请求**。

## Layer 3/4 — 容量型/网络攻击

这些攻击针对**网络和传输层**，试图饱和带宽或耗尽连接状态，而不是针对你的应用逻辑。

- **SYN flood** — 打开 TCP 握手但从不完成，填满连接表直到合法客户端无法连接。
- **UDP flood** — 向随机端口发送大量 UDP 包，迫使主机处理和回复。
- **Amplification / reflection**（DNS、NTP、memcached） — 伪造受害者的 IP，使小型查询触发针对受害者的巨大回复，将攻击者带宽放大 50-500 倍。

**防御**是关于吸收或过滤数据包：**SYN cookies**（使服务器在握手完成前不保存状态）、**anycast + scrubbing centers**（将洪流分散到全球容量并进行清洗）以及**上游/ISP 过滤**（在数据包到达你之前丢弃伪造或垃圾数据包）。这些数据包本身显然格式不正确或未请求，所以过滤是机械性的。

## Layer 7 — 应用层攻击

这些攻击针对**应用层（HTTP）**，使用看起来完全合法的请求。

- **HTTP flood** — 向真实端点（`GET /search?q=...`、`POST /login`）发送大量请求，使每个请求都强制执行数据库查询、渲染或身份验证检查。

危险在于**不对称性**：一个很小的请求可能让你付出很大的查询代价，所以远少的带宽就能让你服务瘫痪。而且因为每个请求都是格式正确的，数据包过滤无法将其与真实用户区分。

**防御**必须比过滤更聪明：**WAF** 来匹配恶意模式，**速率限制**按 IP/user/token，以及**行为分析**（challenge 页面、JS/CAPTCHA、指纹识别）来区分机器人和真人。

## 为什么检测不同

```text
Layer 3/4 : detect by VOLUME + protocol anomalies -> filter/absorb packets (cheap to spot)
Layer 7   : detect by BEHAVIOR (looks like real traffic) -> needs request-level intelligence
```

## 为什么这很重要

你无法用一个工具防御两者。一个粉碎 1 Tbps UDP 洪流的清洗中心将放行 50,000 请求/秒的 HTTP 洪流，因为每个请求看起来都是有效的。高级工程师首先确定层级，然后采用相应的控制——针对容量型攻击的数据包级别清洗和 anycast，针对应用层洪流的请求级别 WAF、速率限制和行为挑战。