ਦੋਵੇਂ ਹੀ ਮੰਗਾਂ ਦਾ ਅਚਾਨਕ ਉਛਾਲ ਲੱਗਦੇ ਹਨ, ਇਸ ਲਈ ਤੁਸੀਂ ਉਹਨਾਂ ਨੂੰ ਟ੍ਰੈਫਿਕ ਦੀ ਸ਼ਕਲ ਦੁਆਰਾ, ਸਿਰਫ ਇਸ ਦੀ ਮਾਤਰਾ ਨਾਲ ਨਹੀਂ ਵੱਖ ਕਰਦੇ ਹੋ। ਇੱਕ DDoS ਅਸਾਧਾਰਨ, ਮਸ਼ੀਨ ਵਾਲੇ ਪੈਟਰਨ ਦਿਖਾਉਂਦਾ ਹੈ ਜਿਸ ਦਾ ਕੋਈ ਵਪਾਰਕ ਕਾਰਣ ਨਹੀਂ ਹੈ; ਇੱਕ ਜੈਵਿਕ ਸਪਾਈਕ ਅਸਲ ਦੇ ਯੂਜ਼ਰਾਂ ਦੀ ਪਿਛਲੀ ਪੈਗਲਸ ਹੈ ਅਤੇ ਇਸ ਦਾ ਇੱਕ ਕਾਰਣ ਹੈ ਜਿਸ ਵੱਲ ਤੁਸੀਂ ਇਸ਼ਾਰਾ ਕਰ ਸਕਦੇ ਹੋ।
/search ਜਾਂ /login) ਨੂੰ ਹਾਥ ਮਾਰ ਰਹੀਆਂ ਹਨ ਬਜਾਏ ਸਾਈਟ ਭਰ ਵਿੱਚ ਫੈਲੀਆਂ ਹੋਣ ਦੇ।User-Agent।ਸਕੂਲ ਮਤ ਕਰੋ ਕੱਚੀ ਗਿਣਤੀ। ਲਾਈਨਾਂ ਨੂੰ ਕਾਇਮ ਰੱਖੋ requests-per-second, geo ਮਿਸ਼ਰਣ, ਕੈਸ਼-ਹਿਟ ਅਨੁਪਾਤ, ਅਤੇ ਤਰੁਟੀ ਦਰ ਲਈ, ਫਿਰ ਉਹਨਾਂ ਦੇ ਵਿਰੁੱਧ anomaly detection ਚਲਾਓ।
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
ਦੱਸਣ ਵਾਲੀ ਗੱਲ ਹੈ correlation: ਇੱਕ ਅਸਲ ਸਪਾਈਕ ਵਪਾਰਕ ਮੈਟ੍ਰਿਕਸ ਨੂੰ ਵੀ ਲਿਫਟ ਕਰਦਾ ਹੈ; ਇੱਕ ਹਮਲਾ ਲਾਗਤ ਨੂੰ ਲਿਫਟ ਕਰਦਾ ਹੈ ਜਦਕਿ ਪਰਿਵਰਤਨ ਸਮਤਲ ਰਹਿੰਦੇ ਹਨ।
ਦੋਵਾਂ ਨੂੰ ਗਲਤ ਪੜ੍ਹਨਾ ਦੋਵਾਂ ਦਿਸ਼ਾਵਾਂ ਵਿੱਚ ਮਹਿੰਗਾ ਹੈ। ਇੱਕ ਲਾਂਚ ਸਰਜ ਨੂੰ ਇੱਕ ਹਮਲੇ ਵਜੋਂ ਲਾਜ਼ਮੀ ਸਮਝਣਾ ਅਤੇ ਇਸ ਨੂੰ rate-limit ਕਰਨਾ ਭੁਗਤਾਨ ਕਰਨ ਵਾਲੇ ਯੂਜ਼ਰਾਂ ਨੂੰ ਬਲਾਕ ਕਰਦਾ ਹੈ; ਇੱਕ ਹਮਲੇ ਨੂੰ ਜੈਵਿਕ ਵਜੋਂ ਮਾਨਤਾ ਦੇਣਾ ਇਸ ਨੂੰ ਆਪਣੇ ਮੂਲ ਨੂੰ ਥਕਾ ਦਿੰਦਾ ਹੈ। Baselining ਅਤੇ ਸੰਬੰਧਤ ਮੈਟ੍ਰਿਕਸ ਤੁਹਾਨੂੰ ਤੇਜ਼ ਅਤੇ ਸਹੀ ਢੰਗ ਨਾਲ ਜਵਾਬ ਦਿੰਦਾ ਹੈ, ਜੋ ਪੂਰੇ ਬਿੰਦੂ ਦਾ ਪਤਾ ਲਗਾ ਰਹਾ ਹੈ।