Molemmat näyttävät äkilliseltä pyyntöjen nousulta, joten ne erotetaan toisistaan liikenteen muodolla, ei vain sen määrällä. DDoS-hyökkäys näyttää poikkeavalta, koneelliselta kuviolta ilman liiketoiminnallista syytä; orgaaninen piikki noudattaa oikeiden käyttäjien käyttäytymistä ja sillä on syy, johon voit viitata.
/search tai /login) sen sijaan, että ne jakautuisivat koko sivuston yli.User-Agent.Älä katso vain raakoja lukuja. Ylläpidä perusarvoja pyynnöille sekunnissa, maantieteelliselle jakaumalle, välimuistin osumissuhteelle ja virheprosentille, sitten suorita poikkeaman havaitseminen niitä vastaan.
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
Ratkaiseva tekijä on korrelaatio: todellinen piikki nostaa liiketoimintamittareita myös; hyökkäys nostaa kustannuksia samalla kun muunnokset pysyvät tasaisina.
Näiden kahden sekoittaminen on kallista molempiin suuntiin. Julkaisun surgen käsittely hyökkäyksenä ja sen rajoittaminen estää maksukykyisiä käyttäjiä; hyökkäyksen käsittely orgaanisena sallii sen kuluttaa origin-palvelimesi. Perusteiden ja korreloitujen mittareiden avulla voit vastata nopeasti ja oikein, mikä on koko havaitsemisen pointti.