Bagaimana Anda membedakan serangan DDoS dari lonjakan lalu lintas alami?

Question

Accepted Answer

Keduanya terlihat seperti lonjakan permintaan yang tiba-tiba, jadi Anda membedakannya dengan **bentuk lalu lintas, bukan hanya volumenya**. DDoS menunjukkan pola yang tidak normal dan seperti mesin tanpa alasan bisnis; lonjakan organik mengikuti pengguna nyata dan memiliki penyebab yang dapat Anda tunjukkan.

## Tanda-tanda ini adalah DDoS

- **Konsentrasi pada satu endpoint** — ribuan permintaan menghujani satu jalur mahal (misalnya `/search` atau `/login`) alih-alih tersebar di seluruh situs.
- **Geografi dan user agent yang aneh** — lalu lintas dari wilayah yang tidak Anda layani, atau `User-Agent` yang berulang/kosong/dipalsukan.
- **Rasio cache-hit rendah** — penyerang membuat string kueri unik untuk melewati CDN dan langsung mengenai origin Anda.
- **Permintaan yang salah format atau berulang** — payload identik, header yang hilang, tidak ada cookie, tidak ada rantai referrer.
- **Tidak ada pendorong bisnis** — tidak ada kampanye, peluncuran, atau rujukan yang menjelaskan lonjakan, dan muncul secara instan daripada meningkat secara bertahap.

## Tanda-tanda ini adalah lonjakan organik

- **Penyebab yang dapat dilacak** — kampanye pemasaran, postingan viral, penyebutan pers, atau lonjakan rujukan dari sumber yang dikenal.
- **Jalur pengguna normal** — lalu lintas mengalir melalui perjalanan nyata (landing → produk → checkout), menghormati cache, dan membawa cookie serta user agent yang beragam.
- **Peningkatan alami** — beban dibangun dan berkurang daripada langsung menabrak dinding.

## Cara memutuskan

Jangan sekadar menilai jumlah mentah. **Pertahankan baseline** untuk permintaan per detik, campuran geo, rasio cache-hit, dan tingkat kesalahan, kemudian jalankan **deteksi anomali** terhadapnya.

```text
# Correlate several signals before declaring an attack:
requests/sec       -> spiked 20x        (suspicious)
cache-hit ratio    -> dropped 95% -> 5%  (bypassing cache = suspicious)
top endpoint       -> 90% to /login      (concentrated = suspicious)
conversions/signups-> flat or zero        (no business value = attack)
```

Penanda adalah **korelasi**: lonjakan nyata juga menaikkan metrik bisnis; serangan menaikkan biaya sementara konversi tetap datar.

## Mengapa ini penting

Salah membaca keduanya mahal di kedua arah. Memperlakukan lonjakan peluncuran sebagai serangan dan membatasinya memblokir pengguna yang membayar; memperlakukan serangan sebagai organik membiarkannya menguras origin Anda. Baselining ditambah metrik berkorelasi memungkinkan Anda merespons dengan cepat dan benar, yang merupakan seluruh poin dari deteksi.