L3: сетевой уровень
L3-атаки создают объём на уровне IP/network traffic и нацелены на доступную полосу и инфраструктуру. Эффективная защита должна находиться там, где ещё есть ресурс принять и отфильтровать этот объём — у провайдера или на распределённом edge.
Типичные примеры — объёмный IP/ICMP/fragment traffic и другие floods, где критичным становится доступный bandwidth ещё до HTTP.
L4: транспортный уровень
На L4 атакуют TCP/UDP и состояние соединений. Даже без сложной HTTP-логики большой поток соединений способен исчерпать state tables, sockets или ресурсы балансировщика/origin.
Классический пример — SYN flood, который создаёт большое число полуоткрытых TCP-соединений; UDP flood нагружает транспорт/сеть без необходимости доходить до web application.
L7: прикладной уровень
L7-запрос может быть синтаксически корректным HTTP и при этом дорого обходиться приложению: поиск, фильтр, авторизация, генерация страниц, API. Поэтому здесь важны URL-aware limits, caching, WAF/rules, bot classification и защита конкретных дорогих endpoints.
Типичный пример — HTTP flood: множество GET/POST к страницам, login, search, filters или API. Такие запросы могут выглядеть валидно и требуют URL-aware rate, cache, WAF/rules и bot/behavior analysis.
Как отличать уровни на практике
| Наблюдение | Что проверить |
|---|---|
| Канал заполнен до origin | L3/L4, провайдерские метрики, edge telemetry |
| Резкий рост connections без HTTP | L4/socket/load balancer layer |
| HTTP RPS растёт на конкретные URL | L7 routes, logs, cache, backend time |
| RPS умеренный, CPU/DB резко растут | дорогая application operation / amplification |
| Много scripted sessions | anti-bot/browser/behavior evidence |
Почему нужен layered defense
Современные edge-платформы явно разделяют network L3/L4 mitigation и L7 security policies. Это полезная архитектурная модель даже если вы используете другого провайдера.
AntiPF располагается в application/runtime слое и должен использоваться совместно с инфраструктурной защитой, когда угроза выходит за пределы HTTP abuse.
Роль AntiPF — L7/automation evidence
AntiPF видит HTTP request, crawler identity, Browser/Network/Adaptive evidence и может применять Challenge/rules. Он не принимает на себя роль сетевого scrubbing центра.
Источники и технические справки
Для проверяемых технических деталей использованы официальные материалы: