Daftar Isi

 

Mengenal DDoS Layer 7: Ketika Serangan Meniru Pengguna Asli untuk Melumpuhkan Website

Bayangkan sebuah website sedang ramai dikunjungi. Pengguna membuka halaman utama, melakukan pencarian, login ke akun, membeli produk, atau mengakses layanan tertentu. Dari sisi server, aktivitas tersebut terlihat seperti lalu lintas internet biasa.

Namun, bagaimana jika sebagian besar permintaan tersebut sebenarnya berasal dari penyerang?

Inilah gambaran sederhana dari DDoS Layer 7, atau serangan Distributed Denial of Service yang menargetkan lapisan aplikasi. Berbeda dengan serangan yang sekadar membanjiri jaringan menggunakan lalu lintas dalam jumlah besar, serangan Layer 7 dapat dirancang agar permintaannya terlihat seperti aktivitas pengguna normal.

Tujuannya sama: membuat layanan tidak dapat digunakan oleh pengguna yang sebenarnya.

Website bisa menjadi sangat lambat, server kehabisan sumber daya, API tidak merespons, hingga layanan akhirnya mengalami downtime.

Karena serangan terjadi pada lapisan aplikasi, mendeteksinya tidak selalu semudah melihat lonjakan bandwidth. Justru di situlah salah satu tantangan terbesar DDoS Layer 7.

Apa Itu DDoS Layer 7?

Layer 7 merujuk pada Application Layer, yaitu lapisan ketujuh dalam model jaringan OSI.

Lapisan ini berhubungan dengan layanan yang berinteraksi langsung dengan aplikasi dan pengguna. Contohnya adalah komunikasi HTTP yang digunakan ketika browser mengakses website.

Dalam DDoS Layer 7, penyerang berusaha membuat aplikasi target menerima begitu banyak permintaan atau melakukan begitu banyak pekerjaan sehingga sumber daya yang tersedia tidak lagi cukup untuk melayani pengguna yang sah.

Sumber daya tersebut bisa berupa CPU, memori, database connection, worker aplikasi, thread, atau komponen lain yang dibutuhkan untuk memproses permintaan.

Menariknya, serangan tidak selalu membutuhkan bandwidth yang luar biasa besar.

Satu permintaan HTTP mungkin terlihat kecil. Tetapi jika permintaan tersebut memaksa server menjalankan proses yang berat dan dilakukan secara terus-menerus dari banyak sumber, beban akhirnya dapat menjadi sangat besar.

Inilah yang membuat DDoS Layer 7 berbeda dari sekadar “internet dibanjiri data”.

Mengapa Layer 7 Sulit Dideteksi?

Salah satu masalah terbesar adalah kemiripan dengan traffic pengguna normal.

Bayangkan sebuah website e-commerce memiliki halaman pencarian produk. Pengguna normal memang akan mengirimkan permintaan pencarian ke server.

Penyerang juga dapat mengirimkan permintaan ke fungsi yang sama.

Dari sudut pandang sistem keamanan, keduanya sama-sama menggunakan protokol aplikasi yang valid. Yang membedakan adalah pola, volume, konteks, dan perilaku permintaannya.

Karena itulah sistem pertahanan tidak cukup hanya melihat alamat IP atau jumlah paket.

Jika terlalu banyak traffic diblokir hanya karena volumenya tinggi, pengguna asli yang sedang melakukan aktivitas normal juga berpotensi terkena dampaknya.

Sebaliknya, jika sistem terlalu longgar, traffic berbahaya bisa terus membebani aplikasi.

Pertahanan Layer 7 akhirnya membutuhkan kemampuan untuk memahami perilaku traffic, bukan sekadar menghitung jumlah koneksi.

Baca juga : Kendaraan Listrik Benarkah Ramah Lingkungan atau Cuma Memindahkan Lokasi Emisi?

Bagaimana Serangan Layer 7 Bekerja?

Secara sederhana, penyerang mencoba mengeksploitasi bagian tertentu dari aplikasi dengan mengirimkan permintaan dalam jumlah atau pola yang tidak wajar.

Misalnya, sebuah website memiliki endpoint yang membutuhkan pemrosesan database cukup berat. Jika endpoint tersebut terus-menerus dipanggil dalam jumlah besar, server harus mengalokasikan sumber daya untuk memproses setiap permintaan.

Ketika permintaan berbahaya terus berdatangan, sumber daya server dapat terkuras.

Akibatnya, permintaan dari pengguna sebenarnya ikut mengalami antrean panjang.

Pada tahap tertentu, pengguna mungkin melihat website sangat lambat, mengalami error, atau sama sekali tidak bisa dibuka.

Karena serangan diarahkan ke fungsi aplikasi tertentu, jumlah bandwidth yang digunakan belum tentu terlihat spektakuler.

Ini membuat Layer 7 menjadi salah satu bentuk DDoS yang menarik perhatian dalam keamanan aplikasi modern.

HTTP Flood, Salah Satu Bentuk yang Paling Dikenal

Salah satu contoh serangan Layer 7 adalah HTTP flood.

Pada serangan ini, target menerima permintaan HTTP dalam jumlah besar. Permintaan tersebut dapat diarahkan ke halaman atau fungsi tertentu pada aplikasi.

Masalahnya bukan hanya jumlah permintaan, tetapi pekerjaan yang harus dilakukan server untuk menjawabnya.

Jika setiap permintaan membutuhkan proses database, autentikasi, rendering, atau operasi lainnya, beban terhadap aplikasi dapat meningkat dengan cepat.

HTTP flood juga dapat menjadi lebih sulit dideteksi ketika pola permintaannya dibuat menyerupai perilaku pengguna normal.

Karena itu, organisasi perlu melihat berbagai indikator, seperti pola URL yang diakses, frekuensi permintaan, karakteristik sesi, perilaku client, serta hubungan antara request dan response.

Slowloris: Serangan dengan Cara “Pelan”

Tidak semua DDoS bekerja dengan membanjiri server menggunakan permintaan dalam jumlah besar.

Slowloris merupakan contoh serangan yang memanfaatkan koneksi HTTP yang dipertahankan secara tidak normal.

Konsep sederhananya adalah membuat server tetap mempertahankan banyak koneksi yang belum selesai sehingga resource koneksi yang tersedia semakin terbatas.

Serangan seperti ini menunjukkan bahwa DDoS bukan selalu persoalan “semakin banyak data semakin berbahaya”.

Cara sebuah aplikasi mengelola koneksi juga sangat penting.

Konfigurasi batas koneksi, timeout yang tepat, reverse proxy, load balancer, dan sistem mitigasi dapat membantu mengurangi risiko dari pola serangan semacam ini.

Serangan terhadap DNS dan Layanan Aplikasi

Selain HTTP, layanan jaringan lain juga dapat menjadi bagian dari serangan DDoS.

DNS, misalnya, memiliki peran penting karena bertugas membantu menerjemahkan nama domain menjadi alamat IP. Jika infrastruktur DNS terganggu, pengguna dapat mengalami kesulitan mengakses layanan meskipun server aplikasi sebenarnya masih berjalan.

Ada pula serangan reflection dan amplification yang memanfaatkan sistem pihak ketiga untuk menghasilkan traffic menuju target.

Namun, penting untuk membedakan klasifikasi serangan. Tidak semua serangan DNS secara otomatis merupakan serangan Layer 7. Beberapa serangan DNS lebih tepat dikategorikan berdasarkan protokol dan lapisan jaringan yang dieksploitasinya.

Yang terpenting adalah memahami bahwa DDoS dapat menyerang berbagai bagian infrastruktur, bukan hanya server website secara langsung.

Dampak DDoS Layer 7 bagi Bisnis

Dampak serangan tidak berhenti pada website yang lambat.

Untuk bisnis digital, website atau API sering menjadi bagian penting dari operasional. Jika layanan terganggu, pelanggan tidak dapat melakukan transaksi, login, mengakses informasi, atau menggunakan fitur tertentu.

Dampak lainnya bisa muncul pada reputasi dan pengalaman pengguna.

Bayangkan seseorang mencoba melakukan pembayaran tetapi website tidak dapat diakses. Jika kejadian seperti itu terus berulang, pengguna dapat kehilangan kepercayaan terhadap layanan.

Pada perusahaan yang menyediakan layanan digital secara penuh, downtime juga dapat mengganggu operasi internal dan layanan yang bergantung pada API.

Karena itu, DDoS bukan hanya masalah teknis. Serangan terhadap availability dapat berubah menjadi masalah operasional dan bisnis.

Bagaimana Cara Melindungi Website dari DDoS Layer 7?

Pertahanan sebaiknya tidak bergantung pada satu teknologi.

Salah satu mekanisme yang umum digunakan adalah rate limiting. Sistem membatasi seberapa banyak permintaan yang dapat dilakukan dalam periode tertentu berdasarkan berbagai karakteristik traffic.

Rate limiting dapat membantu mencegah satu sumber atau pola traffic tertentu mengonsumsi resource aplikasi secara berlebihan.

Namun, pembatasan berdasarkan IP saja tidak selalu cukup karena serangan terdistribusi dapat berasal dari banyak alamat.

Karena itu, organisasi juga dapat menggunakan Web Application Firewall atau WAF. WAF berada di depan aplikasi dan dapat membantu menganalisis request sebelum diteruskan ke server.

WAF dapat digunakan untuk mendeteksi pola traffic mencurigakan dan memblokir permintaan tertentu berdasarkan aturan keamanan.

Load Balancer dan Reverse Proxy Juga Berperan

Arsitektur aplikasi memiliki pengaruh besar terhadap kemampuan menghadapi serangan.

Load balancer dapat membantu mendistribusikan permintaan ke beberapa server sehingga beban tidak menumpuk pada satu mesin.

Reverse proxy juga dapat bertindak sebagai lapisan perantara antara pengguna dan server aplikasi.

Dengan arsitektur yang tepat, sebagian beban dapat ditangani sebelum mencapai aplikasi utama.

Untuk organisasi dengan layanan berskala besar, perlindungan berbasis cloud juga dapat digunakan. Traffic masuk diarahkan melalui jaringan mitigasi yang memiliki kapasitas lebih besar untuk menyaring traffic berbahaya sebelum mencapai infrastruktur utama.

Jangan Lupakan Monitoring dan Patch Keamanan

Pertahanan DDoS tidak hanya dilakukan ketika serangan sudah terjadi.

Monitoring merupakan bagian penting dari persiapan. Organisasi perlu memahami seperti apa traffic normal aplikasinya agar perubahan perilaku dapat lebih cepat dikenali.

Misalnya, lonjakan request secara tiba-tiba pada endpoint tertentu dapat menjadi indikator yang perlu diperiksa.

Selain itu, software server, framework, aplikasi, dan komponen keamanan perlu diperbarui secara berkala.

Kerentanan pada aplikasi dapat memberikan jalan bagi penyerang untuk melakukan aktivitas yang lebih berbahaya, termasuk menggabungkan eksploitasi kerentanan dengan upaya mengganggu availability layanan.

Backup, rencana respons insiden, dokumentasi, dan jalur komunikasi darurat juga penting.

Apa yang Harus Dilakukan Saat Serangan Terjadi?

Ketika serangan terdeteksi, organisasi perlu bergerak cepat tetapi tetap terukur.

Langkah pertama adalah memastikan apakah gangguan memang berasal dari DDoS atau disebabkan masalah lain seperti kerusakan server, kesalahan konfigurasi, atau lonjakan pengguna yang sah.

Setelah indikasi DDoS semakin kuat, traffic dapat diarahkan melalui mekanisme mitigasi yang tersedia, misalnya WAF, layanan perlindungan DDoS, reverse proxy, atau infrastruktur filtering.

Aturan rate limiting juga dapat diperketat pada endpoint yang menjadi sasaran.

Untuk layanan yang sangat kritis, tim keamanan biasanya perlu berkoordinasi dengan penyedia jaringan, penyedia cloud, atau vendor mitigasi agar penyaringan dapat dilakukan pada lapisan yang sesuai.

Dalam kondisi tertentu, bagian layanan yang terdampak mungkin perlu dibatasi sementara untuk menjaga komponen lain tetap tersedia.

Setelah serangan mereda, organisasi sebaiknya melakukan analisis terhadap log dan pola traffic untuk mengetahui apa yang terjadi serta memperbaiki pertahanan agar insiden serupa lebih mudah ditangani.

DDoS Layer 7 Bukan Sekadar Masalah Bandwidth

Salah satu kesalahpahaman tentang DDoS adalah anggapan bahwa serangan selalu mudah dikenali karena bandwidth tiba-tiba penuh.

Pada Layer 7, masalahnya bisa jauh lebih spesifik.

Serangan dapat menargetkan fungsi aplikasi tertentu dan menghabiskan resource server tanpa harus menghasilkan traffic yang terlihat luar biasa besar.

Itulah sebabnya keamanan modern perlu melihat aplikasi dari sudut pandang perilaku.

Sistem harus mampu membedakan aktivitas pengguna normal dengan pola permintaan yang tidak wajar, sekaligus menghindari pemblokiran pengguna sah secara berlebihan.

Pendekatan seperti behavioral analysis, rate limiting, WAF, load balancing, monitoring, dan perlindungan DDoS berbasis cloud dapat digunakan secara berlapis sesuai kebutuhan organisasi.

Kesimpulan

DDoS Layer 7 merupakan serangan yang menargetkan lapisan aplikasi dengan tujuan mengganggu ketersediaan layanan. Alih-alih sekadar membanjiri jaringan dengan data, serangan ini dapat memanfaatkan permintaan aplikasi yang terlihat seperti aktivitas pengguna normal.

HTTP flood dan pola koneksi seperti Slowloris merupakan contoh teknik yang dapat menyebabkan server kehabisan resource. Dampaknya bisa berupa aplikasi melambat, error, hingga tidak dapat digunakan.

Karena karakteristiknya yang menyerupai traffic normal, pertahanan Layer 7 membutuhkan lebih dari sekadar firewall jaringan biasa.

Organisasi perlu membangun pertahanan berlapis melalui rate limiting, WAF, reverse proxy, load balancer, monitoring perilaku traffic, patch keamanan, serta layanan mitigasi DDoS jika diperlukan.

Yang tidak kalah penting, DDoS sebaiknya dipandang sebagai bagian dari strategi availability dan resilience, bukan sekadar masalah bandwidth.

Semakin penting sebuah aplikasi bagi bisnis, semakin penting pula kemampuan sistem untuk tetap melayani pengguna yang sah ketika terjadi lonjakan traffic atau serangan.

Dengan memahami cara kerja Layer 7 sejak awal, organisasi dapat merancang aplikasi yang bukan hanya cepat ketika kondisi normal, tetapi juga lebih siap menghadapi kondisi ketika traffic yang datang ternyata tidak semuanya bersahabat.