Πώς ξεχωρίζεις μια επίθεση DDoS από μια φυσική αύξηση της κίνησης;

Question

Accepted Answer

Και τα δύο φαίνονται σαν ξαφνική αύξηση των αιτημάτων, γι' αυτό τα ξεχωρίζεις από **το σχήμα της κίνησης, όχι μόνο το όγκό της**. Μια DDoS δείχνει ανώμαλα, μηχανιστικά μοτίβα χωρίς επιχειρηματική αιτιολόγηση· μια οργανική αύξηση ακολουθεί πραγματικούς χρήστες και έχει αιτία που μπορείς να εξηγήσεις.

## Σημάδια ότι είναι DDoS

- **Συγκέντρωση σε ένα endpoint** — χιλιάδες αιτήματα που χτυπούν ένα μόνο δαπανηρό path (π.χ. `/search` ή `/login`) αντί να απλώνονται στο σάιτ.
- **Περίεργες γεωγραφίες και user agents** — κίνηση από περιοχές που δεν εξυπηρετείς, ή ένα μόνο επαναλαμβανόμενο/κενό/παזαρεμένο `User-Agent`.
- **Χαμηλός λόγος cache-hit** — οι επιτιθέμενοι δημιουργούν μοναδικές query strings για να παρακάμψουν το CDN και να χτυπήσουν απευθείας το origin.
- **Κακοσχηματισμένα ή επαναλαμβανόμενα αιτήματα** — ίδια payloads, λείπουν headers, χωρίς cookies, χωρίς referrer chain.
- **Χωρίς επιχειρηματική κινητήρια δύναμη** — καμία εκحملώτ, launch ή referral δεν εξηγεί την αύξηση, και εμφανίζεται αμέσως αντί να ανεβαίνει σταδιακά.

## Σημάδια ότι είναι οργανική αύξηση

- **Ανιχνεύσιμη αιτία** — μια εκحملώτ marketing, ένα viral post, μια αναφορά τύπου ή ένα spike referral από γνωστή πηγή.
- **Κανονικές διαδρομές χρήστη** — η κίνηση ρέει μέσα από πραγματικά journeys (landing -> product -> checkout), σέβεται το cache και έχει cookies και διαφορετικούς user agents.
- **Φυσική ανάβαση** — το φορτίο δημιουργείται και μειώνεται αντί να προσπίπτει αμέσως σε ένα όριο.

## Πώς να αποφασίσεις

Μην κοιτάξεις απλώς ανεπεξέργαστα νούμερα. **Διατήρησε baselines** για requests-per-second, geo mix, cache-hit ratio και error rate, στη συνέχεια τρέξε **anomaly detection** εναντίον τους.

```text
# Correlate several signals before declaring an attack:
requests/sec       -> spiked 20x        (suspicious)
cache-hit ratio    -> dropped 95% -> 5%  (bypassing cache = suspicious)
top endpoint       -> 90% to /login      (concentrated = suspicious)
conversions/signups-> flat or zero        (no business value = attack)
```

Το σημάδι είναι **συσχέτιση**: μια πραγματική αύξηση ανεβάζει και business metrics· μια επίθεση ανεβάζει το κόστος ενώ οι conversions παραμένουν σταθερές.

## Γιατί έχει σημασία

Η λάθος ανάγνωση των δύο είναι δαπανηρή και στις δύο κατευθύνσεις. Αν αντιμετωπίσεις μια launch surge ως επίθεση και rate-limit, μπλοκάρεις πληρώνοντας χρήστες· αν αντιμετωπίσεις μια επίθεση ως οργανική, την αφήνεις να εξαντλήσει το origin. Η baselining συν τις συσχετισμένες metrics σου επιτρέπουν να αποκριθείς γρήγορα και σωστά, που είναι το πάντα του σημείου της ανίχνευσης.