Ambos parecen un aumento repentino de solicitudes, así que los distingues por la forma del tráfico, no solo su volumen. Un DDoS muestra patrones anormales, mecánicos, sin ninguna razón empresarial; un pico orgánico sigue usuarios reales y tiene una causa que puedes señalar.
/search o /login) en lugar de distribuirse por el sitio.User-Agent único, repetido, vacío o falsificado.No confíes en el análisis visual de números brutos. Mantén líneas base para solicitudes por segundo, mezcla geográfica, relación de aciertos de caché y tasa de error, luego ejecuta detección de anomalías en ellas.
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
La clave es correlación: un pico real también eleva las métricas empresariales; un ataque eleva el costo mientras las conversiones permanecen planas.
Malinterpretar los dos es caro en ambas direcciones. Tratar un pico de lanzamiento como un ataque e implementar limitación de velocidad bloquea usuarios pagadores; tratar un ataque como orgánico le permite agotar tu origen. Establecer líneas base más métricas correlacionadas te permite responder rápida y correctamente, que es el punto central de la detección.