Oba wyglądają jak nagły wzrost liczby żądań, więc rozróżniamy je, patrząc na kształt ruchu, a nie tylko jego wielkość. DDoS wykazuje anomalne, maszynowe wzorce bez uzasadnienia biznesowego; organiczny wzrost wynika z rzeczywistych użytkowników i ma przyczynę, którą można wskazać.
/search lub /login) zamiast rozproszenia się po całej witrynie.User-Agent.Nie patrz na golonumerów. Prowadź linie bazowe dla liczby żądań na sekundę, miksu geograficznego, współczynnika trafień cache i wskaźnika błędów, a następnie uruchom detektowanie anomalii względem nich.
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
Kluczem jest korelacja: prawdziwy wzrost podnosi również metryki biznesowe; atak podnosi koszty, podczas gdy konwersje pozostają stałe.
Złe odczytanie obu sytuacji jest kosztowne w obie strony. Traktowanie napędu uruchomienia jako ataku i ograniczenie szybkości blokuje płacących użytkowników; traktowanie ataku jako organicznego pozwala mu wyczerpać twój oryginalny serwer. Tworzenie linii bazowych plus skorelowane metryki pozwalają szybko i prawidłowo reagować, co jest całą istotą detekcji.