Bagaimana anda membezakan serangan DDoS daripada lonjakan trafik semula jadi?

Question

Accepted Answer

Kedua-duanya kelihatan seperti lonjakan permintaan yang tiba-tiba, jadi anda membezakannya melalui **bentuk trafik, bukan sekadar jumlahnya**. DDoS menunjukkan corak luar biasa seperti mesin tanpa sebab perniagaan; lonjakan organik mengikuti pengguna sebenar dan mempunyai punca yang boleh anda tunjukkan.

## Tanda ia adalah DDoS

- **Tumpuan pada satu endpoint** — beribu-ribu permintaan menghentam satu laluan mahal sahaja (cth. `/search` atau `/login`) dan bukannya tersebar di seluruh laman.
- **Geografi dan user agent yang ganjil** — trafik daripada wilayah yang anda tidak layani, atau satu `User-Agent` yang berulang/kosong/dipalsukan.
- **Cache-hit ratio yang rendah** — penyerang mereka query string yang unik untuk memintas CDN dan menghentam origin anda secara langsung.
- **Permintaan cacat atau berulang** — payload yang sama, header yang hilang, tiada cookie, tiada rantaian referrer.
- **Tiada pemacu perniagaan** — tiada kempen, pelancaran, atau rujukan yang menerangkan lonjakan itu, dan ia muncul serta-merta dan bukannya meningkat beransur-ansur.

## Tanda ia adalah lonjakan organik

- **Punca yang boleh dijejaki** — kempen pemasaran, siaran viral, sebutan akhbar, atau lonjakan rujukan daripada sumber yang diketahui.
- **Laluan pengguna yang normal** — trafik mengalir melalui perjalanan sebenar (landing -> produk -> checkout), menghormati cache, dan membawa cookie serta user agent yang pelbagai.
- **Peningkatan yang semula jadi** — beban meningkat dan menyusut secara beransur-ansur dan bukannya melonjak ke dinding serta-merta.

## Cara membuat keputusan

Jangan memerhati kiraan mentah dengan mata kasar. **Kekalkan garis dasar (baselines)** untuk requests-per-second, campuran geo, cache-hit ratio, dan kadar ralat, kemudian jalankan **pengesanan anomali** terhadapnya.

```text
# Correlate several signals before declaring an attack:
requests/sec       -> spiked 20x        (suspicious)
cache-hit ratio    -> dropped 95% -> 5%  (bypassing cache = suspicious)
top endpoint       -> 90% to /login      (concentrated = suspicious)
conversions/signups-> flat or zero        (no business value = attack)
```

Petandanya ialah **korelasi**: lonjakan sebenar turut menaikkan metrik perniagaan; serangan menaikkan kos sementara penukaran (conversions) kekal mendatar.

## Mengapa ia penting

Salah membaca kedua-duanya adalah mahal dalam kedua-dua arah. Menganggap lonjakan pelancaran sebagai serangan dan mengehadkan kadarnya menyekat pengguna yang membayar; menganggap serangan sebagai organik membenarkannya menghabiskan origin anda. Penetapan garis dasar ditambah metrik yang berkorelasi membolehkan anda bertindak balas dengan cepat dan betul, yang merupakan keseluruhan tujuan pengesanan.