Come si distingue un attacco DDoS da un picco di traffico naturale?

Question

Accepted Answer

Entrambi assomigliano a un improvviso aumento di richieste, quindi li distingui **dalla forma del traffico, non solo dal suo volume**. Un DDoS mostra schemi anomali e simili a quelli di una macchina senza una ragione di business; un picco organico segue utenti reali e ha una causa che puoi indicare.

## Segni che è un DDoS

- **Concentrazione su un endpoint** — migliaia di richieste che colpiscono un singolo percorso costoso (ad esempio `/search` o `/login`) invece di distribuirsi su tutto il sito.
- **Geografie e user agent strani** — traffico da regioni che non servi, oppure un singolo `User-Agent` ripetuto/vuoto/falsificato.
- **Rapporto di cache-hit basso** — gli attaccanti creano stringhe di query uniche per bypassare la CDN e colpire direttamente la tua origin.
- **Richieste malformate o ripetitive** — payload identici, header mancanti, nessun cookie, nessuna catena di referrer.
- **Nessun driver di business** — nessuna campagna, lancio o spike di referral spiega l'aumento, e appare istantaneamente piuttosto che aumentare gradualmente.

## Segni che è un picco organico

- **Una causa tracciabile** — una campagna di marketing, un post virale, una menzione sulla stampa o uno spike di referral da una fonte nota.
- **Percorsi utente normali** — il traffico scorre attraverso viaggi reali (landing -> prodotto -> checkout), rispetta la cache e porta cookie e user agent variati.
- **Una rampa naturale** — il carico aumenta e diminuisce gradualmente piuttosto che saltare istantaneamente a un muro.

## Come decidere

Non fare stime visive dei conteggi grezzi. **Mantieni baseline** per richieste al secondo, mix geografico, rapporto di cache-hit e tasso di errore, quindi esegui **rilevamento anomalie** rispetto ad essi.

```text
# Correlate several signals before declaring an attack:
requests/sec       -> spiked 20x        (suspicious)
cache-hit ratio    -> dropped 95% -> 5%  (bypassing cache = suspicious)
top endpoint       -> 90% to /login      (concentrated = suspicious)
conversions/signups-> flat or zero        (no business value = attack)
```

L'indicatore è **la correlazione**: un picco reale aumenta anche le metriche di business; un attacco aumenta il costo mentre le conversioni rimangono piatte.

## Perché è importante

Misinterpretare i due è costoso in entrambe le direzioni. Trattare un picco di lancio come un attacco e fare rate-limiting blocca gli utenti paganti; trattare un attacco come organico lo lascia esaurire la tua origin. La creazione di baseline più metriche correlate ti consente di rispondere velocemente e correttamente, che è l'intero punto della rilevazione.