Oba vypadají jako náhlý nárůst požadavků, takže je rozlišujete tvarem provozu, ne jen jeho objemem. DDoS útok vykazuje abnormální, strojově vypadající vzory bez obchodního důvodu; organický nárůst je charakteristický pro skutečné uživatele a má příčinu, kterou můžete poukázat.
/search nebo /login) místo rozprostření po webu.User-Agent.Neodhadujte surové počty. Udržujte účetní linii pro požadavky za sekundu, mix geografií, poměr zásahů cache a chybovost, poté spusťte detekci anomálií proti nim.
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
Je to korelace: skutečný nárůst také zvyšuje obchodní metriky; útok zvyšuje náklady, zatímco konverze zůstávají plochie.
Chybné čtení obojího je drahé v obou směrech. Zpracování spuštění jako útoku a zavedení omezení rychlosti blokuje platící uživatele; ošetření útoku jako organické nechá jej vyčerpat váš původ. Účetní linie plus korelované metriky vám umožňují odpovědět rychle a správně, což je vlastně celý smysl detekce.