Como você diferencia um ataque DDoS de um pico natural de tráfego?

Question

Accepted Answer

Ambos parecem um aumento súbito em requisições, então você os diferencia pela **forma do tráfego, não apenas seu volume**. Um DDoS mostra padrões anormais, semelhantes a máquinas, sem razão comercial; um pico orgânico segue usuários reais e tem uma causa que você consegue apontar.

## Sinais de que é um DDoS

- **Concentração em um único endpoint** — milhares de requisições martelando um caminho único e custoso (por exemplo, `/search` ou `/login`) em vez de se espalhar pelo site.
- **Geografias e user agents estranhos** — tráfego de regiões que você não serve, ou um `User-Agent` único, repetido, vazio ou falsificado.
- **Taxa baixa de acerto de cache** — atacantes criam query strings únicos para contornar o CDN e atingir sua origem diretamente.
- **Requisições malformadas ou repetitivas** — payloads idênticos, headers faltando, sem cookies, sem cadeia de referrer.
- **Sem driver comercial** — nenhuma campanha, lançamento ou referência explica o aumento, e ele aparece instantaneamente em vez de crescer gradualmente.

## Sinais de que é um pico orgânico

- **Uma causa rastreável** — uma campanha de marketing, uma publicação viral, uma menção na imprensa, ou um aumento de referência de uma fonte conhecida.
- **Caminhos normais de usuário** — o tráfego flui através de jornadas reais (landing -> produto -> checkout), respeita cache e carrega cookies e user agents variados.
- **Uma rampa natural** — a carga aumenta e diminui em vez de saltar para um muro instantaneamente.

## Como decidir

Não procure apenas por números brutos. **Mantenha baselines** para requisições por segundo, mix geográfico, taxa de acerto de cache e taxa de erro, depois execute **detecção de anomalias** contra elas.

```text
# Correlate several signals before declaring an attack:
requests/sec       -> spiked 20x        (suspicious)
cache-hit ratio    -> dropped 95% -> 5%  (bypassing cache = suspicious)
top endpoint       -> 90% to /login      (concentrated = suspicious)
conversions/signups-> flat or zero        (no business value = attack)
```

O indicador é **correlação**: um pico real eleva métricas de negócio também; um ataque eleva custo enquanto conversões permanecem planas.

## Por que isso importa

Mal interpretar os dois é custoso em ambas as direções. Tratar um aumento de lançamento como um ataque e fazer rate-limiting bloqueia usuários pagantes; tratar um ataque como orgânico deixa ele esgotar sua origem. Baselining mais métricas correlacionadas deixa você responder rapidamente e corretamente, que é o ponto inteiro da detecção.