Les deux ressemblent à une soudaine augmentation des requêtes, vous les distinguez donc par la forme du trafic, pas seulement son volume. Une DDoS affiche des motifs anormaux et mécaniques sans raison commerciale ; un pic organique suit des utilisateurs réels et a une cause que vous pouvez identifier.
/search ou /login) au lieu de se répartir sur le site.User-Agent répété/vide/contrefait.Ne vous fiez pas au simple regard sur les chiffres bruts. Maintenez des seuils de référence pour les requêtes par seconde, la répartition géographique, le ratio de cache-hit et le taux d'erreur, puis exécutez la détection d'anomalies par rapport à eux.
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
L'indicateur clé est la corrélation : un vrai pic augmente aussi les métriques commerciales ; une attaque augmente les coûts tandis que les conversions restent plates.
Mal interpréter les deux est coûteux dans les deux sens. Traiter une augmentation de lancement comme une attaque et la rate-limiter bloque les utilisateurs payants ; traiter une attaque comme organique la laisse épuiser votre origine. La création de seuils de référence plus des métriques corrélées vous permet de réagir rapidement et correctement, ce qui est tout l'intérêt de la détection.