L'OSI è il modello didattico a sette livelli (fisico, data link, rete, trasporto, sessione, presentazione, applicazione); lo stack TCP/IP è quello reale a quattro-cinque livelli su cui internet gira davvero. In pratica si usa il vocabolario OSI ("un problema di livello 3", "un attacco L7") sopra l'implementazione TCP/IP.
Perché conta per la sicurezza: ogni livello ha le sue minacce e le sue difese, e confonderli è l'errore di base. L2 – ARP poisoning, VLAN hopping; L3 – IP spoofing, BGP hijacking; L4 – SYN flood, scansioni di porte, dove ragiona il firewall di rete; L7 – SQL injection, XSS, bot, dove ragiona il WAF. Un firewall L4 non vede un attacco L7 e viceversa: è il motivo per cui la difesa in profondità mette controlli a più livelli invece di sperare in un muro solo. Sapere "a che livello succede" è la prima domanda di ogni diagnosi.