Si i dallon një sulm DDoS nga një rritje natyrore e trafikut?

Question

Accepted Answer

Të dyja duken si një rritje e papritur në kërkesa, kështu që i bëni dallimin nga **forma e trafikut, jo vetëm vëllimi i tij**. Një DDoS tregon modele anormale, të ngjashme me makinën, pa asnjë arsye biznesi; një rritje organike ndjek përdoruesit e vërtetë dhe ka një arsye të cilën mund ta tregoni.

## Shenjat që është një sulm DDoS

- **Përqendrimi në një pikë ndërimi** — mijëra kërkesa që godasin një rrugë të vetme të shtrenjtë (p.sh. `/search` ose `/login`) në vend se të përhapen në të gjithë faqen.
- **Gjeografi dhe agjent përdoruesi të çuditshëm** — trafik nga rajone që nuk i shërbeni, ose një `User-Agent` të vetëm i përsëritur/bosh/falsifikuar.
- **Raporti i ulët i goditjeve në memorje** — sulmueset krijojnë vargu kërkese unik për të anashkaluar CDN-në dhe për të goditur direkt origjinën tuaj.
- **Kërkesa të malformuara ose përsëritëse** — ngarkesa identike, mungesa e kokave, pa biscota, pa zinxhir referuesi.
- **Asnjë shofer biznesi** — asnjë fushatë, lançim ose rritje referuesi nuk shpjegon rritjen, dhe ajo shfaqet menjëherë në vend se të rritet.

## Shenjat që është një rritje organike

- **Një arsye e përshkrueshme** — një fushatë marketimi, një postim viral, një përmend në shtyp, ose një rritje referuesi nga një burim i njohur.
- **Rrugë normale të përdoruesit** — trafiku rrjedh përmes udhëtimeve të vërteta (qarkimi → produkti → shitja me pakicë), respekton memorjen, dhe mban biscota dhe agjente përdoruesi të ndryshëm.
- **Një rritje natyrore** — ngarkesa ndërtohet dhe zvogëlohet në vend se të ndalet në një mur menjëherë.

## Si të vendosni

Mos shijoni numra të papërpunuar. **Ruani bazat** për kërkesa për sekondë, përzierjen gjeografike, raportin e goditjeve në memorje dhe shpejtësinë e gabimit, pastaj ekzekutoni **zbulimin e anomalisë** kundër tyre.

```text
# Correlate several signals before declaring an attack:
requests/sec       -> spiked 20x        (suspicious)
cache-hit ratio    -> dropped 95% -> 5%  (bypassing cache = suspicious)
top endpoint       -> 90% to /login      (concentrated = suspicious)
conversions/signups-> flat or zero        (no business value = attack)
```

Shenja është **korrelacioni**: një rritje e vërtetë ngre edhe metrikat e biznesit; një sulm ngre koston ndërsa shitjet qëndrojnë të sheshta.

## Pse është e rëndësishme

Misinterpretimi i të dyve është i shtrenjtë në të dy drejtimet. Trajtimi i një rritje lançimi si sulm dhe limitimi i normes e bllokon përdoruesit që paguajnë; trajtimi i një sulmi si organik e lejon atë të shterë origjinën tuaj. Bazat plus metrikat e korreluara ju lejojnë të përgjigjeni shpejt dhe saktë, gjë që është e gjithë pointa e zbulimit.