Уровни модели OSI на пальцах
| L3/L4 — сеть и транспорт | L7 — приложение | |
|---|---|---|
| Что атакуют | Канал связи, сетевое оборудование, стек TCP | Веб-сервер, приложение, базу данных |
| Как выглядит | Гигабиты мусорного трафика, UDP-флуд, SYN-флуд, амплификация | Обычные HTTP-запросы в большом количестве |
| Чем измеряют | Гбит/с и пакеты в секунду | Запросы в секунду |
| Кто защищает | Сети фильтрации операторов и дата-центров | Фильтр L7 перед сайтом |
| Что нужно для анализа | Заголовки пакетов | Содержимое запросов, расшифровка HTTPS |
Почему сетевой защиты мало
Сетевая защита видит пакеты, но не понимает, что внутри HTTPS-соединения. Тысяча запросов к поиску в секунду для неё — нормальный трафик. Для вашего сервера — смерть. Поэтому даже на хостинге со встроенной защитой от DDoS сайт может упасть от простого HTTP-флуда.
Почему DDoS·Protect — только L7
Отражение объёмных атак требует собственной сети с огромной ёмкостью каналов и точек присутствия — это бизнес операторов связи. Сервис сосредоточен на том, что сетевая защита не видит: запросах к сайту и API. Узлы фильтрации планируется размещать в дата-центрах с собственной защитой от атак уровня L3/L4: сетевую часть закрывает площадка, прикладную — фильтр.
Вопросы и ответы
Нужна ли защита L7, если у хостинга есть защита от DDoS?
Как правило, да. Защита хостинга обычно отсекает мусорный трафик на уровне сети, но не разбирает HTTP-запросы. Флуд по поиску или корзине, перебор паролей и боты проходят через неё как обычные посетители.
Как понять, какая атака идёт: L3/L4 или L7?
При объёмной атаке загружен канал: растут потери пакетов, сервер недоступен даже по SSH. При атаке L7 канал свободен, а растут нагрузка на процессор и базу, время ответа и число ошибок 502 и 504. Подробнее — в статье как понять, что сайт под DDoS.