Оба случая выглядят как внезапный скачок количества запросов, поэтому вы различаете их по характеру трафика, а не только по его объёму. DDoS показывает аномальные, похожие на машину паттерны без деловой причины; органический скачок следует за реальными пользователями и имеет причину, на которую вы можете указать.
/search или /login) вместо распределения по всему сайту.User-Agent.Не полагайтесь на визуальный осмотр сырых чисел. Поддерживайте базовые значения для requests-per-second, географического распределения, коэффициента попаданий в кэш и rate ошибок, затем запустите обнаружение аномалий против них.
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
Индикатор — это корреляция: реальный скачок поднимает и бизнес-метрики; атака поднимает стоимость, а конверсии остаются неизменными.
Ошибка в определении дорога в обоих направлениях. Если воспринять скачок на момент запуска как атаку и применить rate-limiting, вы заблокируете платящих пользователей; если воспринять атаку как органический трафик, она истощит ваш origin. Базовые значения плюс коррелированные метрики позволяют вам ответить быстро и правильно, что и является всей сутью обнаружения.