Kako razlikovati DDoS napad od prirodnog porasta prometa?

Question

Accepted Answer

Oboje izgleda kao nagla ekspanzija zahtjeva, pa ih razlikujete po **obliku prometa, a ne samo po njegovom volumenu**. DDoS pokazuje anomalne, strojevima slične obrasce bez poslovnog razloga; organski porast slijedi pravi korisnike i ima razlog koji možete pokazati.

## Znakovi da je to DDoS

- **Koncentracija na jedan endpoint** — tisuće zahtjeva koji napadaju jednu skupu putanju (npr. `/search` ili `/login`) umjesto nego što se šire po cijeloj web stranici.
- **Čudna zemljopisna područja i user agenti** — promet iz regija koje ne služite, ili jedan ponovljeni/prazan/falsificirani `User-Agent`.
- **Nizak omjer pogodaka u cacheu** — napada­či kreiraju jedinstvene query stringove kako bi zaobišli CDN i direktno pogodili vaš origin.
- **Loše formirani ili repetitivni zahtjevi** — identični payload-i, nedostaju zaglavlja, nema cookies-a, nema referrer lanca.
- **Nema poslovnog razloga** — nijedna kampanja, pokretanje ili uputa ne objašnjava porast, a on se pojavljuje trenutno umjesto da se polako povećava.

## Znakovi da je to organski porast

- **Pratljiv razlog** — marketinška kampanja, viralni post, spominjanje u medijima ili porast referrala iz poznatog izvora.
- **Normalne korisnjeničke putanje** — promet teče kroz prave tokove (landing -> proizvod -> checkout), poštuje cache i nosi cookies-e te raznolike user agente.
- **Prirodni porast** — opterećenje se gradi i pada umjesto nego što se naglo promijenilo na silu.

## Kako odlučiti

Ne gledate samo brojeve. **Održavajte bazne vrijednosti** za zahtjeve-po-sekundi, zemljopisu mix, omjer pogodaka cachea i stopu greške, zatim pokrenite **detekciju anomalija** prema njima.

```text
# Correlate several signals before declaring an attack:
requests/sec       -> spiked 20x        (suspicious)
cache-hit ratio    -> dropped 95% -> 5%  (bypassing cache = suspicious)
top endpoint       -> 90% to /login      (concentrated = suspicious)
conversions/signups-> flat or zero        (no business value = attack)
```

Razlika je **korelacija**: pravi porast podiže i poslovne metrike; napad podiže troškove dok konverzije ostaju nepromijenjene.

## Zašto je to važno

Pogrešna interpretacija dvoga je skupa u oba smjera. Tretiranje pokretanja kao napada i rate-limitiranje blokira plaćajuće korisnike; tretiranje napada kao organskog ga dopušta da iscrpljuje vaš origin. Bazne vrijednosti plus korelirane metrike vam dozvoljavaju brz i ispravan odgovór, što je cijela poanta detekcije.