Oboje izgleda kot nenadni val zahtevkov, zato ju razlikujete po obliki prometa, ne le po njegovem obsegu. DDoS napada kažejo nenormalne, strojevske vzorce brez poslovnega razloga; organski skok sledi pravim uporabnikom in ima razlog, ki ga lahko navedete.
/search ali /login) namesto da bi se razširili po spletnem mestu.User-Agent.Ne gledate samo na goleme količine. Vzdrževajte merilne vrednosti za zahtevke na sekundo, mešanico geografij, razmerje zadetkov v predpomnilniku in stopnjo napak, nato izvedite zaznavanje anomalij proti njim.
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
Razlika je korelacija: pravi skok dviguje tudi poslovne metrike; napad dviguje stroške, medtem ko ostajajo pretvorbe enake.
Napačna razlika med obojim je draga v obeh smereh. Če boste skok ob izvedbi razumeli kot napad in ga omejevali, boste blokirali plačujoče uporabnike; če boste napad razumeli kot organski, mu dovolite, da izčrpa vaše izhodišče. Merske vrednosti in korelirane metrike vam omogočijo hitro in pravilno odziv, kar je celoten namen zaznave.