Cum deosebești un atac DDoS de o creștere naturală a traficului?

Question

Accepted Answer

Ambele arată ca o creștere bruscă a cererilor, deci le deosebești după **forma traficului, nu doar volumul acestuia**. Un DDoS prezintă modele anormale, generate de mașini, fără o justificare de afaceri; o creștere organică urmează utilizatorii reali și are o cauză pe care o poți identifica.

## Semne că este un atac DDoS

- **Concentrație pe un singur endpoint** — mii de cereri lovind o singură cale costisitoare (de ex. `/search` sau `/login`) în loc să se răspândească pe întreg site-ul.
- **Geografii și user-agents ciudate** — trafic din regiuni pe care nu le deservești, sau un singur `User-Agent` repetat/gol/falsificat.
- **Raport scăzut de cache hits** — atacatorii construiesc stringuri de query unice pentru a ocoli CDN-ul și a lovi direct originea ta.
- **Cereri malformate sau repetitive** — payload-uri identice, headere lipsă, niciun cookie, niciun lanț de referrer.
- **Nicio justificare de afaceri** — nicio campanie, lansare sau cale de referral nu explică creșterea, și apare instant în loc să crească treptat.

## Semne că este o creștere organică

- **O cauză identificabilă** — o campanie de marketing, o postare virală, o mențiune în presă, sau o creștere a referral-urilor dintr-o sursă cunoscută.
- **Căi de utilizator normale** — traficul urmează călătorii reale (landing -> produs -> checkout), respectă cache-ul și transportă cookies și user-agents variate.
- **O creștere naturală** — sarcina crește și scade treptat în loc să se fixeze brusc la un maxim.

## Cum să decizi

Nu te uita doar la numere brute. **Menține referințe** pentru cereri-pe-secundă, distribuția geografică, raportul cache hit și rata de erori, apoi rulează **detecția de anomalii** împotriva acestora.

```text
# Correlate several signals before declaring an attack:
requests/sec       -> spiked 20x        (suspicious)
cache-hit ratio    -> dropped 95% -> 5%  (bypassing cache = suspicious)
top endpoint       -> 90% to /login      (concentrated = suspicious)
conversions/signups-> flat or zero        (no business value = attack)
```

Indicatorul este **corelația**: o creștere reală ridică și metricele de afaceri; un atac ridică costul în timp ce conversiile rămân stabile.

## De ce conteaza

Misinterpretarea celor doi este costisitoare în ambele direcții. Tratarea unei creșteri de lansare ca atac și limitarea ratei blochează utilizatorii plătitori; tratarea unui atac ca organic îl lasă să epuizeze originea ta. Referințele plus metricile corelate te lasă să răspunzi rapid și corect, ceea ce este esența detecției.