Layer 3, Layer 4 Và Layer 7 DDoS Khác Nhau Thế Nào?

Tấn công từ chối dịch vụ phân tán, hay DDoS, là hình thức sử dụng nhiều nguồn lưu lượng để làm quá tải máy chủ, dịch vụ hoặc hạ tầng mạng, khiến người dùng hợp lệ truy cập chậm, mất kết nối hoặc không thể sử dụng dịch vụ. DDoS có thể nhắm vào nhiều tầng khác nhau của mô hình OSI, trong đó phổ biến nhất là Layer 3, Layer 4 và Layer 7.

Mỗi loại tấn công có mục tiêu và cách gây quá tải khác nhau. Layer 3 thường tác động đến hạ tầng mạng và địa chỉ IP; Layer 4 tập trung vào giao thức truyền tải, cổng kết nối và trạng thái phiên; Layer 7 lại nhắm trực tiếp vào website, API hoặc logic của ứng dụng.

Hiểu rõ sự khác nhau giữa Layer 3, Layer 4 và Layer 7 giúp doanh nghiệp lựa chọn đúng giải pháp chống DDoS cho website, VPS, máy chủ game, API và các dịch vụ trực tuyến.

DDoS Layer Là Gì?

“Layer” trong DDoS thường được dùng để chỉ tầng của mô hình OSI mà lưu lượng tấn công chủ yếu tác động đến.

Ba tầng thường được nhắc đến gồm:

Layer 3 – Network Layer: tầng mạng.
Layer 4 – Transport Layer: tầng giao vận.
Layer 7 – Application Layer: tầng ứng dụng.

Trong thực tế, ranh giới giữa các loại tấn công không phải lúc nào cũng hoàn toàn tách biệt. Một cuộc tấn công có thể sử dụng giao thức ở Layer 7 nhưng tạo ra tác động lớn lên băng thông Layer 3 và Layer 4. Vì vậy, các nhà cung cấp thường nhóm Layer 3 và Layer 4 thành Network DDoS hoặc Infrastructure DDoS, còn Layer 7 được gọi là Application DDoS. AWS cũng phân biệt các cuộc tấn công hạ tầng tại Layer 3–4 với tấn công ứng dụng tại Layer 7.

DDoS Layer 3 Là Gì?

Layer 3 là tầng mạng, chịu trách nhiệm định tuyến các gói dữ liệu dựa trên địa chỉ IP. Tấn công DDoS Layer 3 tập trung vào việc làm quá tải đường truyền, router, địa chỉ IP hoặc khả năng xử lý gói tin của hạ tầng mạng.

Khác với tấn công Layer 4, một số cuộc tấn công Layer 3 không cần thiết lập kết nối TCP và không nhắm đến một cổng dịch vụ cụ thể. Mục tiêu chính có thể là toàn bộ địa chỉ IP hoặc tuyến mạng của máy chủ.

Các dạng tấn công Layer 3 thường gặp

Một số hình thức thường được xếp vào nhóm này gồm:

ICMP Flood.
Ping Flood.
Smurf Attack.
Ping of Death.
IP Fragmentation Attack.
Một số loại lưu lượng khuếch đại và volumetric attack.

Trong ICMP Flood, mục tiêu phải tiếp nhận và xử lý một lượng rất lớn gói ICMP. Khi số lượng gói vượt quá khả năng của đường truyền hoặc thiết bị mạng, các kết nối hợp lệ sẽ bị chậm hoặc gián đoạn.

Smurf Attack sử dụng lưu lượng phản xạ và địa chỉ IP giả mạo để gửi lượng lớn phản hồi về mục tiêu. Các phương pháp hiện đại đã hạn chế nhiều hệ thống phản xạ kiểu cũ, nhưng nguyên lý khuếch đại và giả mạo nguồn vẫn xuất hiện trong nhiều dạng DDoS mạng.

Mục tiêu của DDoS Layer 3

Layer 3 thường tìm cách làm cạn kiệt:

Băng thông Internet.
Khả năng xử lý gói tin của router.
Năng lực của firewall.
Hệ thống định tuyến.
Hạ tầng của trung tâm dữ liệu.
Đường truyền đến địa chỉ IP mục tiêu.

Dù tiến trình game hoặc website bên trong VPS chưa sử dụng hết CPU và RAM, người dùng vẫn có thể mất kết nối nếu đường truyền đến máy chủ đã bị làm đầy.

Đo quy mô tấn công Layer 3

DDoS mạng thường được đánh giá bằng:

bps hoặc Gbps: số bit truyền mỗi giây.
pps hoặc Mpps: số gói dữ liệu truyền mỗi giây.
Tổng dung lượng dữ liệu được hệ thống lọc.

Một cuộc tấn công có băng thông không quá lớn nhưng số lượng gói mỗi giây cực cao vẫn có thể làm quá tải router, firewall hoặc phần mềm mạng. Cloudflare sử dụng cả chỉ số packets per second và bits per second trong báo cáo, cảnh báo và phân tích DDoS hạ tầng.

DDoS Layer 4 Là Gì?

Layer 4 là tầng giao vận, nơi các giao thức như TCP và UDP hoạt động. Tấn công Layer 4 thường nhắm vào cổng dịch vụ, trạng thái kết nối hoặc khả năng xử lý phiên của máy chủ và thiết bị mạng.

Ví dụ, một game server có thể sử dụng UDP trên một cổng nhất định, trong khi web server thường lắng nghe TCP trên cổng 80 và 443. Kẻ tấn công có thể gửi một lượng lớn gói TCP hoặc UDP đến các cổng này để làm quá tải dịch vụ.

Các dạng DDoS Layer 4 phổ biến

Một số hình thức thường gặp gồm:

TCP SYN Flood.
ACK Flood.
TCP Connection Flood.
RST Flood.
UDP Flood.
UDP Fragmentation Flood.
Reflection và Amplification qua UDP.

Các nhà cung cấp chống DDoS thường gom SYN Flood, UDP Flood, ICMP Attack và các hình thức tương tự vào nhóm bảo vệ Layer 3–4. 123HOST cũng phân loại hệ thống bảo vệ mạng của họ theo hướng này.

SYN Flood hoạt động như thế nào?

Trong một kết nối TCP thông thường, máy khách và máy chủ thực hiện quá trình bắt tay trước khi truyền dữ liệu. Với SYN Flood, mục tiêu nhận một số lượng lớn yêu cầu mở kết nối nhưng các kết nối không được hoàn tất bình thường.

Máy chủ, firewall hoặc load balancer phải lưu trạng thái cho các kết nối đang chờ. Khi bảng trạng thái hoặc tài nguyên xử lý bị sử dụng hết, người dùng hợp lệ có thể không tạo được kết nối mới.

UDP Flood khác gì SYN Flood?

UDP không sử dụng quá trình bắt tay giống TCP. Kẻ tấn công có thể gửi lượng lớn gói UDP đến một hoặc nhiều cổng của máy chủ.

UDP Flood có thể gây hại theo hai hướng:

Làm đầy băng thông mạng.
Làm tăng số lượng gói mà máy chủ phải kiểm tra và xử lý.

Do đó, UDP Flood vừa có thể mang đặc điểm của tấn công volumetric, vừa gây quá tải ở tầng giao vận. Đây cũng là một trong những nguy cơ quan trọng đối với máy chủ game vì nhiều trò chơi sử dụng UDP để truyền trạng thái theo thời gian thực.

Mục tiêu của DDoS Layer 4

DDoS Layer 4 thường làm cạn kiệt:

Bảng trạng thái kết nối.
Số lượng socket.
Giới hạn kết nối đồng thời.
CPU xử lý giao thức mạng.
Firewall hoặc load balancer.
Băng thông và khả năng xử lý gói tin.
Cổng TCP hoặc UDP của dịch vụ.

Cloudflare mô tả các cuộc tấn công giao thức tại Layer 3 và Layer 4 có thể tiêu thụ tài nguyên của máy chủ cũng như thiết bị trung gian như firewall và load balancer.

DDoS Layer 7 Là Gì?

Layer 7 là tầng ứng dụng, nơi các giao thức và chức năng mà người dùng trực tiếp tương tác hoạt động. Đối với website, Layer 7 chủ yếu liên quan đến HTTP và HTTPS.

Tấn công DDoS Layer 7 gửi các yêu cầu có vẻ giống lưu lượng hợp lệ đến website, API hoặc ứng dụng. Thay vì chỉ cố gắng làm đầy đường truyền, mục tiêu của nó là buộc máy chủ phải thực hiện những công việc tốn tài nguyên.

Các dạng tấn công Layer 7 phổ biến

Một số hình thức thường được nhắc đến gồm:

HTTP GET Flood.
HTTP POST Flood.
HTTPS Flood.
API Request Flood.
Login Flood.
Search Flood.
Cart hoặc Checkout Flood.
GraphQL Query Flood.
DNS Query Flood trong một số kiến trúc dịch vụ.
Low and Slow Attack.

Ví dụ, yêu cầu tải một hình ảnh tĩnh thường tiêu tốn ít tài nguyên hơn yêu cầu tìm kiếm sản phẩm, đăng nhập tài khoản hoặc tạo báo cáo. Kẻ tấn công có thể tập trung vào những URL khiến ứng dụng phải truy vấn database, tạo phiên đăng nhập hoặc xử lý dữ liệu phức tạp.

Vì sao Layer 7 nguy hiểm dù băng thông không lớn?

Một yêu cầu HTTP nhỏ có thể kích hoạt nhiều tác vụ phía sau:

Web server nhận yêu cầu.
PHP, Node.js, Java hoặc Python xử lý mã nguồn.
Ứng dụng kiểm tra phiên đăng nhập.
Database thực hiện truy vấn.
API gọi đến dịch vụ khác.
Máy chủ tạo phản hồi.

Do sự chênh lệch giữa kích thước yêu cầu và lượng tài nguyên xử lý, Layer 7 không nhất thiết phải có băng thông rất lớn. Một lượng request vừa phải nhưng nhắm đúng endpoint tốn tài nguyên vẫn có thể làm cạn CPU, RAM, database connection hoặc PHP-FPM worker.

Các cuộc tấn công “low and slow” còn sử dụng lượng lưu lượng tương đối thấp và kéo dài kết nối, khiến chúng khó phân biệt với người dùng bình thường hơn các đợt flood rõ ràng.

Đo quy mô tấn công Layer 7

Layer 7 thường được theo dõi bằng:

RPS: requests per second.
Số lượng request theo URL.
Số phiên hoặc cookie.
Tỷ lệ lỗi HTTP.
Thời gian phản hồi.
CPU và RAM ứng dụng.
Số kết nối database.
Quốc gia, ASN hoặc đặc điểm bot.
Tỷ lệ cache hit và cache miss.

Cloudflare, chẳng hạn, sử dụng ngưỡng requests per second cho cảnh báo HTTP DDoS, trong khi cảnh báo Layer 3–4 thường dựa vào packets per second và megabits per second.

Bảng So Sánh Layer 3, Layer 4 Và Layer 7 DDoS

Tiêu chí	Layer 3	Layer 4	Layer 7
Tầng bị nhắm đến	Network	Transport	Application
Mục tiêu chính	IP, router, đường truyền	TCP/UDP, cổng và trạng thái kết nối	Website, API và logic ứng dụng
Ví dụ	ICMP Flood, Smurf	SYN Flood, ACK Flood, UDP Flood	HTTP Flood, API Flood, Login Flood
Chỉ số thường theo dõi	Gbps, Mpps	pps, connections per second	RPS, URL, session, CPU, database
Cần mở kết nối TCP	Không nhất thiết	Tùy loại tấn công	Thường có với HTTP/HTTPS
Có thể giống người dùng thật	Thấp đến trung bình	Trung bình	Cao
Tài nguyên bị cạn	Băng thông, router, firewall	Connection table, socket, CPU mạng	CPU, RAM, worker, database
Lớp bảo vệ phù hợp	Hệ thống lọc upstream, scrubbing	Firewall DDoS, TCP/UDP proxy	CDN, reverse proxy, WAF, bot management

Tấn Công Nào Nguy Hiểm Hơn?

Không có layer nào luôn nguy hiểm hơn trong mọi trường hợp.

Một cuộc tấn công Layer 3 có thể làm đầy toàn bộ đường truyền trước khi lưu lượng đến máy chủ. Khi đó, firewall cài bên trong VPS gần như không có cơ hội xử lý.

Layer 4 có thể làm đầy bảng trạng thái của firewall hoặc load balancer dù băng thông chưa đạt mức tối đa.

Layer 7 có thể sử dụng ít băng thông hơn nhưng vẫn khiến website ngừng hoạt động bằng cách làm quá tải ứng dụng và database. Vì request có thể trông giống người dùng thật, việc chặn quá mạnh còn có nguy cơ loại bỏ cả khách truy cập hợp lệ.

CISA chia DDoS thành các nhóm volumetric, protocol và application-based, đồng thời lưu ý kẻ tấn công có thể kết hợp nhiều kỹ thuật trong cùng một sự kiện.

DDoS Đa Vector Là Gì?

DDoS đa vector là cuộc tấn công sử dụng nhiều phương thức hoặc nhiều layer cùng lúc.

Ví dụ, hệ thống có thể đồng thời phải đối mặt với:

UDP Flood làm đầy băng thông.
SYN Flood làm quá tải bảng kết nối.
HTTP Flood đánh vào trang đăng nhập.
Bot gửi truy vấn database tốn tài nguyên.

Nếu dịch vụ chỉ có WAF nhưng không có khả năng lọc UDP và TCP ở upstream, website vẫn có thể mất kết nối khi đường truyền bị bão hòa. Ngược lại, hệ thống chỉ lọc Layer 3–4 vẫn có thể bị quá tải bởi request HTTPS hợp lệ ở Layer 7.

Vì vậy, các nền tảng bảo vệ hiện đại thường cung cấp hệ thống riêng cho Network DDoS, HTTP DDoS, TCP Protection và DNS Protection thay vì sử dụng một quy tắc duy nhất cho mọi loại tấn công.

Cách Chống DDoS Layer 3

Layer 3 cần được xử lý trước khi lưu lượng độc hại làm đầy đường truyền đến máy chủ. Các biện pháp thường bao gồm:

Hệ thống scrubbing tại trung tâm dữ liệu.
Mạng Anycast phân tán lưu lượng.
Lọc lưu lượng upstream.
Access Control List tại router.
Blackhole hoặc FlowSpec trong tình huống cần thiết.
Khả năng xử lý băng thông và số gói lớn.
Giám sát lưu lượng theo bps và pps.
Phân tán dịch vụ qua nhiều khu vực.

Firewall phần mềm trên VPS vẫn hữu ích để kiểm soát truy cập, nhưng không thể cứu đường truyền 1 Gbps khi hàng chục Gbps lưu lượng đã đi đến cổng mạng. Vì thế, khả năng chống DDoS Layer 3 phải được triển khai tại nhà mạng, trung tâm dữ liệu hoặc mạng lọc phía trước.

Cách Chống DDoS Layer 4

Layer 4 cần hệ thống hiểu trạng thái TCP, UDP và đặc điểm lưu lượng của từng dịch vụ. Các biện pháp thường gồm:

SYN cookie và cơ chế chống SYN Flood.
Giới hạn tốc độ tạo kết nối.
Lọc gói bất thường.
TCP proxy hoặc UDP proxy.
Giới hạn kết nối theo nguồn.
Phát hiện IP spoofing.
Hệ thống baseline lưu lượng.
Scrubbing chuyên dụng cho TCP và UDP.
Bảo vệ từng cổng game cụ thể.

Cloudflare cung cấp các giải pháp riêng cho hạ tầng Layer 3–4 và ứng dụng TCP/UDP, thể hiện rằng bảo vệ website HTTP không hoàn toàn giống bảo vệ game server hoặc giao thức tùy chỉnh.

Cách Chống DDoS Layer 7

Bảo vệ Layer 7 đòi hỏi phải phân biệt giữa người dùng, bot hợp lệ và bot tấn công. Những biện pháp phổ biến gồm:

CDN và reverse proxy.
Web Application Firewall.
Rate limiting theo URL.
Bot management.
JavaScript challenge hoặc CAPTCHA khi cần.
Cache nội dung tĩnh và trang công khai.
Giới hạn truy cập vào login, search và API.
Kiểm tra cookie, token và hành vi phiên.
Tối ưu database và application.
Tách các endpoint tốn tài nguyên.
Theo dõi RPS, tỷ lệ lỗi và thời gian phản hồi.

AWS sử dụng WAF web ACL, rate-based rule và cơ chế tự động giảm thiểu để bảo vệ ứng dụng Layer 7. Điều này khác với lớp bảo vệ hạ tầng Layer 3–4 vốn tập trung vào lưu lượng mạng và giao thức.

Cloudflare Có Chống Được Cả Layer 3, 4 Và 7 Không?

Cloudflare có các hệ thống bảo vệ Layer 3–4 và Layer 7, nhưng phạm vi bảo vệ phụ thuộc vào loại dịch vụ và cách lưu lượng được đưa qua mạng Cloudflare. Tài liệu Cloudflare phân biệt Network-layer DDoS Managed Ruleset với HTTP DDoS Managed Ruleset, Advanced TCP Protection và Advanced DNS Protection.

Việc bật proxy cho một tên miền website không tự động bảo vệ mọi cổng TCP và UDP trên địa chỉ IP gốc. Đối với game server hoặc giao thức tùy chỉnh, cần giải pháp hỗ trợ chính giao thức và cổng đó, chẳng hạn TCP/UDP proxy hoặc hệ thống bảo vệ IP ở tầng mạng.

Ngoài ra, nếu địa chỉ IP máy chủ gốc vẫn bị lộ và cho phép truy cập trực tiếp, kẻ tấn công có thể bỏ qua lớp reverse proxy để tấn công thẳng vào origin. Do đó, sau khi triển khai proxy, máy chủ gốc cần được giới hạn truy cập phù hợp và không sử dụng chung IP công khai cho những dịch vụ không được bảo vệ.

Website Và Game Server Cần Bảo Vệ Khác Nhau Thế Nào?

Đối với website

Website thường cần đồng thời:

Bảo vệ Layer 3–4 cho IP và đường truyền.
CDN hoặc reverse proxy.
WAF.
Chống HTTP Flood.
Rate limiting.
Bot management.
Bảo vệ trang đăng nhập và API.
Che giấu và giới hạn origin IP.

123HOST cũng tách khả năng chống HTTP Flood Layer 7 với các cơ chế chống TCP SYN, UDP, ICMP và các hình thức Layer 3–4.

Đối với game server

Game server thường phụ thuộc mạnh vào Layer 3–4 vì phần lớn kết nối sử dụng TCP, UDP hoặc giao thức tùy chỉnh trên các cổng game.

Các tiêu chí cần kiểm tra gồm:

Hệ thống có bảo vệ UDP hay không.
Cổng game nào được bảo vệ.
Khả năng xử lý Gbps và Mpps.
Có TCP/UDP proxy hay bảo vệ trực tiếp IP.
Độ trễ sau khi đi qua mạng lọc.
Cơ chế chống packet flood.
Khả năng nhận diện lưu lượng game hợp lệ.
Chính sách xử lý khi bị tấn công lớn.
IP gốc có được che giấu hay không.

WAF dành cho HTTP không thể phân tích logic của gói UDP game giống như cách nó phân tích URL, cookie hoặc request HTTP.

Cách Chọn Dịch Vụ Chống DDoS Phù Hợp

Trước khi đăng ký dịch vụ, không nên chỉ nhìn vào quảng cáo “chống DDoS hàng trăm Gbps”. Hãy kiểm tra thêm:

Dịch vụ bảo vệ Layer 3, Layer 4 hay Layer 7.
Có hỗ trợ TCP và UDP hay không.
Bảo vệ website, IP hay từng cổng.
Khả năng xử lý packets per second.
Khả năng chống HTTP request flood.
Có WAF và rate limiting hay không.
Lưu lượng sạch được chuyển về máy chủ bằng cách nào.
Địa chỉ IP gốc có được che giấu không.
Vị trí điểm lọc và độ trễ về Việt Nam.
Có báo cáo tấn công và hỗ trợ kỹ thuật 24/7 không.

Một dịch vụ chịu được băng thông lớn nhưng không phân tích được Layer 7 có thể vẫn thất bại trước một đợt HTTP Flood phức tạp. Ngược lại, một WAF mạnh không thể bảo vệ dịch vụ khi đường truyền IP gốc đã bị làm đầy.

Kết Luận

Sự khác nhau giữa Layer 3, Layer 4 và Layer 7 DDoS nằm ở tầng bị tấn công và loại tài nguyên mà kẻ tấn công muốn làm cạn kiệt.

Layer 3 DDoS nhắm vào địa chỉ IP, router và băng thông mạng. Layer 4 DDoS tập trung vào TCP, UDP, cổng dịch vụ và trạng thái kết nối. Layer 7 DDoS gửi yêu cầu đến website, API hoặc ứng dụng để làm quá tải CPU, RAM, worker và database.

Một hệ thống bảo vệ toàn diện không nên chỉ chống một layer. Website cần kết hợp hạ tầng lọc Layer 3–4 với CDN, WAF và chống bot Layer 7. Game server cần đặc biệt chú ý khả năng lọc UDP/TCP, packets per second, độ trễ và phạm vi bảo vệ IP.

ObeGames cung cấp các giải pháp Game Hosting, VPS, Dedicated Server và bảo vệ DDoS phù hợp với website, ứng dụng và máy chủ game. Việc lựa chọn đúng lớp bảo vệ sẽ giúp giảm downtime, duy trì kết nối ổn định và bảo vệ trải nghiệm của người dùng khi lưu lượng tấn công tăng cao.