DDoS L3, L4, L7 : comprendre les couches d'une attaque

On parle de DDoS comme d'un bloc unique, alors qu'il en existe plusieurs familles, qui frappent à des niveaux différents. Comprendre ces couches aide à saisir comment une protection sérieuse s'organise.

Le modèle en couches, version simple

Le trafic réseau se décompose en couches. Pour les attaques, trois niveaux reviennent : L3 (réseau), L4 (transport) et L7 (application). Chacun demande une réponse différente.

L3 et L4 : les attaques volumétriques et protocolaires

Ce sont les plus connues : on inonde votre serveur d'un énorme volume de trafic (des centaines de Gbps) ou d'un déluge de paquets pour saturer la connexion ou épuiser les ressources réseau. Floods UDP, SYN floods, attaques par réflexion et amplification entrent dans cette catégorie.

La parade se joue en amont, sur le réseau, avant même que le trafic atteigne votre serveur. C'est le rôle du scrubbing volumétrique : filtrer le mauvais trafic à très grande échelle. Chez nous, cette couche est assurée par notre protection réseau en amont, avec une capacité de mitigation qui se compte en Tbps.

L7 : l'attaque applicative, plus sournoise

Ici, pas besoin d'un gros volume. L'attaque imite de vraies requêtes (des connexions de jeu, des requêtes web légitimes en apparence) pour épuiser l'application elle-même. C'est plus difficile à distinguer du trafic normal, et ça demande une analyse comportementale plus fine.

Une bonne protection, ce n'est pas une seule muraille, c'est plusieurs couches qui se complètent.

Notre approche

On combine le scrubbing réseau L3/L4 en amont avec des couches L7 plus proches des serveurs, adaptées aux protocoles de jeu (les requêtes de statut Minecraft, les getinfo FiveM, l'A2S de Source). L'objectif : que vous ne voyiez jamais l'attaque passer.

Pour aller plus loin, on l'explique en détail sur la page HG-Proxy.