L4 vs L7 DDoS-aanvallen: wat is het verschil en welke bescherming heeft jouw bedrijf nodig?

Wat betekenen L4 en L7 eigenlijk?

L4 en L7 verwijzen naar lagen in het OSI-model, een standaardmanier om netwerkcommunicatie in zeven lagen in te delen.

• L4 (Transportlaag) – dit is de laag die verantwoordelijk is voor de betrouwbare overdracht van data tussen computers. Denk aan TCP- en UDP-protocollen. Een L4-aanval richt zich op het verbindingsniveau en probeert de infrastructuur te overspoelen.
• L7 (Applicatielaag) – dit is de bovenste laag, waar applicaties zoals webbrowsers, API's en games daadwerkelijk communiceren. Een L7-aanval richt zich op de applicatie zelf en lijkt vaak op normaal verkeer.

Het verschil is cruciaal: een L4-aanval is als duizenden mensen tegelijk tegen je voordeur beuken — de deur zelf wordt het doelwit. Een L7-aanval is als een sluwe inbreker die zich voordoet als bezorger om binnen te komen — het gedrag lijkt legitiem, maar de intentie is kwaadaardig.

L4-aanvallen: volumetrisch en direct

L4-aanvallen zijn de klassieke DDoS-aanvallen. Ze werken door een netwerkverbinding te overspoelen met zo veel verkeer dat de infrastructuur de belasting niet meer aankan.

Veelvoorkomende L4-aanvalstypes:

• UDP Flood – het doelwit wordt overspoeld met UDP-pakketten naar willekeurige poorten. De server moet controleren of er een applicatie op die poort draait, wat resources kost.
• SYN Flood – een aanval die het TCP-handshake-proces misbruikt door voortdurend SYN-verzoeken te sturen zonder deze te voltooien. De server houdt half-open verbindingen vast tot het geheugen op is.
• GRE 'Carpet Bomb' – een relatief nieuwe tactiek (die we in het NBIP/NaWas Q1 2026-rapport zagen toenemen) waarbij GRE-gekapselde pakketten een heel IP-bereik bestoken.

L4-aanvallen worden gemeten in Gbps (gigabit per seconde) of Mpps (miljoen pakketten per seconde). Hoe hoger het volume, hoe meer mitigatiecapaciteit je nodig hebt.

Wie is doelwit? Vooral game-servers, VoIP-diensten, streaming-platforms en elk bedrijf met een online infrastructuur die afhankelijk is van netwerkconnectiviteit.

L7-aanvallen: sluipend en geraffineerd

L7-aanvallen zijn een stuk lastiger te detecteren. Ze verstoppen zich in legitiem ogend HTTP-verkeer en gebruiken vaak minder bandbreedte, maar kunnen net zo veel schade aanrichten.

Veelvoorkomende L7-aanvalstypes:

• HTTP Flood – duizenden ogenschijnlijk normale HTTP-verzoeken naar een website of API. Elke request lijkt afkomstig van een echte browser, maar de schaal maakt de site onbereikbaar.
• Slowloris – een aanval die HTTP-verbindingen openhoudt door kleine beetjes data te sturen, waardoor de server zijn maximale aantal gelijktijdige verbindingen bereikt.
• WordPress/XML-RPC flood – misbruik van veelvoorkomende CMS-functionaliteit om een klein verzoekje te laten escaleren tot een zware serverbelasting.

L7-aanvallen worden gemeten in RPS (requests per seconde). Een goed-gecoördineerde L7-aanval van slechts 5.000 RPS kan een onbeschermde webshop volledig platleggen.

Wie is doelwit? Webshops, SaaS-platforms, API's, WordPress-sites, MKB-bedrijfswebsites — elke online dienst waarbij applicatielogica wordt uitgevoerd.

Waarom beide niveaus bescherming nodig zijn

Het NBIP/NaWas DDoS-trendrapport over Q1 2026 liet zien dat 53% van alle gemitigeerde aanvallen L7 HTTP-request floods waren. Dat is een meerderheid. Tegelijkertijd groeien L4-aanvallen in volume — de grootste aanval in Q1 2026 piekte op 144,29 Gbps.

Een bedrijf dat alleen L4-filtering heeft, is kwetsbaar voor L7-aanvallen. En andersom: een bedrijf dat alleen application-layer bescherming heeft, kan worden overspoeld door een volumetrische L4-aanval.

De enige echte bescherming is een gelaagde aanpak: altijd-aan filtering op beide niveaus.

Hoe Retslav dit aanpakt

Retslav biedt altijd-aan L4- én L7-DDoS-filtering op alle DDoS-beschermingspakketten. Onze scrubbing-infrastructuur in Amsterdam en Brussel analyseert al het binnenkomende verkeer in real-time, zowel op transportniveau als applicatieniveau.

• L4-bescherming (tot 10 Tbps+) – mitigatie van UDP/SYN/GRE-floods en andere volumetrische aanvallen, direct op het netwerk.
• L7-bescherming – intelligente HTTP/HTTPS-filtering die legitiem verkeer doorlaat en kwaadaardige requests blokkeert, met minimale latentie.

Of je nu een game-server runt, een webshop beheert of een SaaS-platform draait — Retslav heeft een pakket dat past, vanaf €49 per maand voor het Basic-pakket (500 Gbps mitigatie) tot €399 voor Enterprise (10 Tbps+). En omdat onze datacenters in Nederland staan, profiteer je van lage latentie en directe Nederlandse support.

Wat kun je zelf doen?

Naast het inschakelen van professionele DDoS-bescherming zijn er een paar stappen die je zelf kunt nemen:

1. Draai een gratis security-scan – ontdek kwetsbaarheden in je website of applicatie voordat een aanvaller dat doet. Op retslav.net/scan kun je direct een gratis scan starten.
2. Zet rate limiting aan – beperk het aantal verzoeken dat één IP-adres naar je server mag sturen.
3. Gebruik een CDN of reverse proxy – dit kan een deel van het verkeer opvangen voordat het je originele server bereikt.
4. Houd je software up-to-date – verouderde CMS-versies zijn een geliefd doelwit voor L7-aanvallen.

Conclusie

L4- en L7-DDoS-aanvallen zijn fundamenteel verschillend, maar beide even gevaarlijk. De eerste overspoelt je infrastructuur, de tweede misbruikt je applicatie. Een complete DDoS-bescherming pakt beide niveaus aan.

Met de Cyberbeveiligingswet die sinds 15 augustus 2026 van kracht is, zijn bedrijven in 18 sectoren wettelijk verplicht om passende technische maatregelen te nemen — en DDoS-bescherming valt daar nadrukkelijk onder. Wacht niet tot een aanval je offline dwingt.

Test je eigen server met een gratis scan op retslav.net/scan.