Hvordan skelner du mellem et DDoS-angreb og en naturlig traffik-stigning?

Question

Accepted Answer

Begge ser ud til at være en pludselig stigning i anmodninger, så du skelner dem ved **trafikformens karakter, ikke blot dens volumen**. Et DDoS-angreb viser unormale, maskinlignende mønstre uden forretningsårsag; en organisk stigning følger rigtige brugere og har en årsag, du kan pege på.

## Tegn på, at det er et DDoS-angreb

- **Koncentration på ét endpoint** — tusinder af anmodninger, der hamrer mod en enkelt dyr sti (f.eks. `/search` eller `/login`) i stedet for at sprede sig over hele siden.
- **Ulige geografier og user agents** — trafik fra regioner, du ikke betjener, eller en enkelt gentaget/tom/forfalsk `User-Agent`.
- **Lav cache-hit ratio** — angribere designer unikke query strings for at omgå CDN'en og ramme din origin direkte.
- **Malformeret eller repetitiv trafik** — identiske payloads, manglende headers, ingen cookies, ingen referrer chain.
- **Ingen forretningsbegrundelse** — ingen kampagne, lancering eller henvisning forklarer stigningen, og den fremkommer øjeblikkeligt i stedet for at stige gradvist.

## Tegn på, at det er en organisk stigning

- **En sporbar årsag** — en marketingkampagne, et viralt indlæg, en presseomtale eller en stigning i henvisninger fra en kendt kilde.
- **Normale brugersti** — trafik flyder gennem rigtige rejser (landing -> produkt -> checkout), respekterer cache og indeholder cookies og varierede user agents.
- **En naturlig stigning** — belastningen stiger og aftager gradvist i stedet for at snappe til en væg øjeblikkeligt.

## Sådan træffer du en beslutning

Med øjet alene kan du ikke vurdere råtallene. **Vedligehold referencepunkter** for anmodninger-per-sekund, geografi mix, cache-hit ratio og fejlrate, og kør derefter **anomalidetektion** mod dem.

```text
# Correlate several signals before declaring an attack:
requests/sec       -> spiked 20x        (suspicious)
cache-hit ratio    -> dropped 95% -> 5%  (bypassing cache = suspicious)
top endpoint       -> 90% to /login      (concentrated = suspicious)
conversions/signups-> flat or zero        (no business value = attack)
```

Tegnene er **korrelation**: en rigtig stigning løfter også forretningsmetrikker; et angreb løfter omkostningen, mens konverteringer forbliver flade.

## Hvorfor det betyder noget

At misfortolke de to er dyrt begge veje. At behandle en lancering som et angreb og rate-limit den blokerer betalende brugere; at behandle et angreb som organisk lader det udtømme din origin. Referencepunkter plus korrelerede metrikker giver dig mulighed for at reagere hurtigt og korrekt, hvilket er hele pointen med detektion.