Beide sehen wie ein plötzlicher Anstieg von Anfragen aus, daher unterscheidest du sie durch die Form des Datenverkehrs, nicht nur sein Volumen. Ein DDoS zeigt abnormale, maschinelle Muster ohne geschäftlichen Grund; ein organischer Spitzenwert folgt echten Benutzern und hat einen Grund, auf den du hinweisen kannst.
/search oder /login), anstatt sich über die Website zu verteilen.User-Agent.Schaue nicht auf rohe Zahlen. Verwalte Baselines für Anfragen pro Sekunde, geografische Verteilung, Cache-Hit-Verhältnis und Fehlerrate, führe dann Anomalieerkennung gegen diese auf.
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
Die Erkenntnis ist Korrelation: ein echter Spitzenwert hebt auch Geschäftsmetriken an; ein Angriff hebt die Kosten an, während Conversions flach bleiben.
Die beiden falsch zu interpretieren ist in beide Richtungen teuer. Einen Launch-Spitzenwert als Angriff zu behandeln und ihn zu limitieren, blockiert zahlende Benutzer; einen Angriff als organisch zu behandeln, lässt ihn deinen Origin erschöpfen. Baselines plus korrelierte Metriken ermöglichen dir, schnell und korrekt zu reagieren, was der ganze Sinn von Erkennung ist.