Begge ser ut som en plutselig økning i forespørsler, så du skiller dem ved formen på trafikken, ikke bare volumet. En DDoS viser abnormale, maskinlignende mønstre uten forretningsgrunn; en organisk økning følger reelle brukere og har en årsak du kan peke på.
/search eller /login) i stedet for å spre seg over hele nettstedet.User-Agent.Ikke vurder rå tall visuelt. Oppretthold baseline-verdier for forespørsler-per-sekund, geo-blanding, cache-hit-ratio og feilrate, deretter kjør anomalideteksjon mot dem.
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
Den avgjørende faktoren er korrelasjon: en reell økning løfter også forretningsmetrikker; et angrep løfter kostnad mens konverteringer forblir flate.
Å misforstå de to er dyrt i begge retninger. Å behandle en lanserings-økning som et angrep og rate-limite det blokkerer betalende brukere; å behandle et angrep som organisk lar det tømme opphavet ditt. Baselining pluss korrelerte metrikker lar deg reagere raskt og riktig, noe som er hele poenget med deteksjon.