Serangan DDoS Layer 7 vs Layer 3, Apa Bedanya?

DDoS (Distributed Denial of Service) adalah serangan yang membuat layanan tidak bisa diakses dengan membanjirinya dari banyak sumber sekaligus. Istilah "layer" merujuk pada lapisan model OSI. Layer 3 adalah lapisan jaringan (alamat IP dan routing), layer 4 adalah transport (TCP dan UDP), dan layer 7 adalah aplikasi (HTTP, DNS, dan sejenisnya).

Bedanya penting karena cara menahannya berbeda total. Salah mendiagnosis jenis serangan bisa membuat kamu sibuk menyetel web server, padahal masalahnya ada di kapasitas jaringan, atau sebaliknya membeli bandwidth besar padahal yang tumbang adalah database.

Bagaimana masing-masing serangan bekerja?

DDoS layer 3 dan 4: membanjiri pipa

Serangan di lapisan ini mengincar kapasitas jaringan dan perangkat. Penyerang mengirim paket dalam jumlah sangat besar sampai jalur internet ke server penuh, atau sampai tabel koneksi di firewall dan server habis. Paket-paket itu tidak perlu masuk akal bagi aplikasi, yang penting banyak.

Contoh yang sering muncul:

• UDP flood dan ICMP flood: paket dikirim bertubi-tubi ke alamat IP target.
• SYN flood (layer 4): penyerang membuka banyak koneksi TCP setengah jadi sehingga server kehabisan slot koneksi.
• Amplifikasi: penyerang memalsukan alamat IP korban lalu mengirim permintaan kecil ke server DNS, NTP, atau layanan lain yang terbuka. Jawaban yang jauh lebih besar dikirim ke korban.

Ukuran serangan ini biasanya dihitung dalam bit per detik (bandwidth) atau paket per detik.

DDoS layer 7: menguras dapur

Serangan aplikasi tidak perlu bandwidth raksasa. Penyerang mengirim permintaan HTTP yang bentuknya mirip pengunjung biasa, tetapi diarahkan ke halaman yang berat diproses: pencarian, keranjang belanja, halaman login, atau API yang memanggil database. Setiap permintaan memaksa server menjalankan PHP, query database, atau proses lain. Server kehabisan CPU, memori, atau koneksi database jauh sebelum bandwidth penuh.

Contohnya HTTP flood (GET atau POST dalam jumlah besar) dan serangan "pelan" seperti Slowloris yang membuka koneksi lalu mengirim data sedikit demi sedikit agar koneksi tidak pernah selesai. Ukurannya dihitung dalam permintaan per detik. Teknik yang memanfaatkan protokol itu sendiri juga ada, misalnya yang dibahas di HTTP/2 Rapid Reset.

Perbandingan DDoS layer 3/4 dan layer 7

Bagaimana cara menahan masing-masing serangan?

Untuk layer 3 dan 4, kuncinya kapasitas dan penyaringan di hulu. Tanyakan ke penyedia server atau hosting apakah ada proteksi DDoS jaringan, berapa batas yang ditangani, dan apa yang terjadi bila batas terlampaui (misalnya IP dialihkan sementara ke null route). Menempatkan website di belakang CDN atau reverse proxy juga menyembunyikan IP asli server, sehingga serangan menghantam jaringan CDN yang jauh lebih besar. Penjelasan lengkap soal perlindungan di VPS ada di anti-DDoS untuk VPS.

Untuk layer 7, pertahanannya berlapis di depan dan di dalam aplikasi:

• Cache halaman supaya permintaan berulang dilayani tanpa menyentuh PHP dan database.
• Rate limit per IP untuk halaman berat seperti login, pencarian, dan checkout.
• WAF dan tantangan bot untuk menyaring pola yang mencurigakan. Konsepnya dibahas di apa itu WAF, dan pengaturan praktis gratisnya ada di aturan WAF Cloudflare gratis.
• Batas waktu koneksi di web server untuk meredam serangan pelan.
• Optimasi query supaya halaman berat tidak terlalu mahal diproses.

Contoh pembatasan sederhana di Nginx untuk halaman login:

# di blok http
limit_req_zone $binary_remote_addr zone=login:10m rate=5r/m;

# di blok server
location = /wp-login.php {
    limit_req zone=login burst=3 nodelay;
    # lanjutkan ke konfigurasi PHP yang sudah ada
}

Angka di atas hanya contoh awal. Sesuaikan dengan pola pengunjungmu supaya pengguna asli tidak ikut tertahan.

Kapan perlu fokus ke layer 3, kapan ke layer 7?

Kalau saat gangguan server sama sekali tidak bisa dihubungi, semua layanan di IP yang sama ikut mati, dan grafik trafik jaringan melonjak tajam, kemungkinan besar itu serangan layer 3 atau 4. Langkah pertamanya menghubungi penyedia jaringan, bukan mengutak-atik aplikasi.

Kalau server masih bisa diakses lewat SSH, bandwidth tampak biasa, tetapi CPU dan koneksi database penuh serta log akses dipenuhi permintaan ke halaman tertentu, itu ciri layer 7. Di sini kamu punya banyak kendali sendiri, mulai dari cache sampai rate limit.

Untuk toko online dan website yang menjadi sumber penjualan, serangan layer 7 lebih sering menjadi masalah sehari-hari karena murah dilakukan dan sulit dibedakan dari pengunjung. Tetapi perlindungan jaringan tetap perlu, karena serangan layer 3 yang besar bisa memutus semuanya sekaligus.