आप एक DDoS attack और एक स्वाभाविक traffic spike में अंतर कैसे करते हैं?

Question

Accepted Answer

दोनों requests में अचानक उछाल जैसे दिखते हैं, इसलिए आप उन्हें **traffic के आकार से, न कि केवल उसकी मात्रा से** अलग करते हैं। एक DDoS असामान्य, मशीन-जैसे patterns दिखाता है जिनका कोई business कारण नहीं होता; एक organic spike वास्तविक users का अनुसरण करता है और उसका एक कारण होता है जिसकी ओर आप इशारा कर सकते हैं।

## संकेत कि यह DDoS है

- **एक endpoint पर एकाग्रता** — साइट भर में फैलने के बजाय हज़ारों requests एक ही महंगे path (जैसे `/search` या `/login`) पर टूट पड़ते हैं।
- **विचित्र geographies और user agents** — उन regions से traffic जहाँ आप सेवा नहीं देते, या एक ही दोहराया हुआ/खाली/forged `User-Agent`।
- **कम cache-hit ratio** — attackers CDN को bypass करके सीधे आपके origin पर पहुँचने के लिए unique query strings गढ़ते हैं।
- **विकृत या दोहरावदार requests** — समान payloads, गायब headers, कोई cookies नहीं, कोई referrer chain नहीं।
- **कोई business driver नहीं** — कोई campaign, launch, या referral इस उछाल को नहीं समझाता, और यह धीरे-धीरे बढ़ने के बजाय तुरंत प्रकट होता है।

## संकेत कि यह organic spike है

- **एक खोजी जा सकने वाली वजह** — एक marketing campaign, एक viral post, एक press mention, या किसी ज्ञात स्रोत से referral spike।
- **सामान्य user paths** — traffic वास्तविक journeys (landing -> product -> checkout) से होकर बहता है, cache का सम्मान करता है, और cookies व विविध user agents रखता है।
- **एक स्वाभाविक ramp** — load तुरंत किसी दीवार से टकराने के बजाय धीरे-धीरे बढ़ता और घटता है।

## कैसे तय करें

कच्ची counts को आँख से न आँकें। requests-per-second, geo mix, cache-hit ratio, और error rate के लिए **baselines बनाए रखें**, फिर उनके विरुद्ध **anomaly detection** चलाएँ।

```text
# Correlate several signals before declaring an attack:
requests/sec       -> spiked 20x        (suspicious)
cache-hit ratio    -> dropped 95% -> 5%  (bypassing cache = suspicious)
top endpoint       -> 90% to /login      (concentrated = suspicious)
conversions/signups-> flat or zero        (no business value = attack)
```

पहचान **correlation** से होती है: एक वास्तविक spike business metrics को भी ऊपर उठाता है; एक attack लागत बढ़ाता है जबकि conversions स्थिर रहते हैं।

## यह क्यों महत्वपूर्ण है

दोनों को गलत समझना दोनों दिशाओं में महंगा है। किसी launch surge को attack मानकर rate-limit करना भुगतान करने वाले users को block कर देता है; किसी attack को organic मानना उसे आपके origin को खत्म करने देता है। baselining के साथ correlated metrics आपको तेज़ी से और सही ढंग से प्रतिक्रिया देने देते हैं, जो detection का पूरा मकसद है।