Beide zien er uit als een plotselinge stroom van verzoeken, dus je onderscheidt ze door de vorm van het verkeer, niet alleen het volume. Een DDoS vertoont abnormale, machinale patronen zonder zakelijke reden; een organische piek volgt echte gebruikers en heeft een oorzaak die je kunt aanwijzen.
/search of /login) in plaats van over de site verspreid te zijn.User-Agent.Ga niet op gevoel af op ruwe tellingen. Handhaf baselines voor requests-per-seconde, geo-mix, cache-hit ratio en foutpercentage, voer vervolgens anomaliedetectie ertegenaan uit.
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
De aanwijzing is correlatie: een echte piek verhoogt ook zakelijke metreken; een aanval verhoogt kosten terwijl conversies vlak blijven.
Het verwarren van de twee is duur in beide richtingen. Een lancerings-surge als aanval behandelen en rate-limiten blokkeert betalende gebruikers; een aanval als organisch behandelen laat hem je origin uitputten. Baselining plus gecorreleerde metreken stelt je in staat snel en correct te reageren, wat het hele doel van detectie is.