दोन्ही विनंत्यांमधील अचानक वाढ दिसतात, म्हणून तुम्ही त्यांना ट्रॅफिकच्या आकाराने वेगळे करा, केवळ व्हॉल्यूमने नाही। DDoS असामान्य, मशीन-सारख्या पॅटर्न दाखवतो ज्याचे कोणते व्यावसायिक कारण नाही; जैविक स्पाइक वास्तविक वापरकर्त्यांचे अनुसरण करतो आणि त्याचे कारण तुम्ही निर्दिष्ट करू शकता.
/search किंवा /login) बजाय संपूर्ण साइटवर पसरलेल्या.User-Agent.कच्च्या संख्यांकडे नजर करू नका. प्रति-सेकंद विनंत्यांसाठी बेसलाइन राखा, भूगोल मिश्रण, कॅश-हिट गुणोत्तर, आणि त्रुटी दर, नंतर त्यांच्याविरुद्ध विसंगती शोध चालवा.
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
सांगणे म्हणजे सहसंबंध: एक वास्तविक स्पाइक व्यावसायिक मेट्रिक्स देखील उंचावतो; एक हल्ला खर्च वाढवतो जेव्हा रूपांतर सपाट राहतात.
दोन्हीचा चुकीचा अर्थ दोन्ही दिशांनी महाग आहे. लाँच स्पाइकला हल्ला मानणे आणि दर-मर्यादित करणे हे अर्थप्रदान वापरकर्त्यांना ब्लॉक करते; हल्ल्याला जैविक मानणे तुमच्या मूलला संपण्याची परवानगी देते. बेसलाइनिंग अधिक सहसंबद्ध मेट्रिक्स तुम्हाला द्रुत आणि बरोबर प्रतिक्रिया देण्याची परवानगी देते, जी संपूर्ण शोधाचा मुद्दा आहे.