Je, unawezaje kutenganisha shambulio la DDoS kutoka kwa pamatanishi ya kijasili ya trafiki?

Question

Accepted Answer

Vyote viwili vinaonekana kuwa kuongezeka ghafla kwa maombi, kwa hivyo unavaenganisha kwa **umbo la trafiki, si tu kiasi chake**. DDoS inaonyesha mifumo ya ajabu inayofanana na mashine bila sababu ya kibiashara; pamatanishi wa kijasili hufuata watumiaji halisi na ina sababu unayoweza kuonyesha.

## Dalili kwamba ni DDoS

- **Mkusanyiko kwenye ncha moja** — elfu za maombi yanayopiga njia moja ghali (k.m. `/search` au `/login`) badala ya kuenea kwenye tovuti nzima.
- **Jiografia na wakili wa watumiaji wa ajabu** — trafiki kutoka maeneo ambayo haufiki, au `User-Agent` moja inayorudiwa/tupu/bandia.
- **Uwiano wa cache-hit wa chini** — wamashubuzi wanaunda kamba za maswali ya kipekee ili kuepuka CDN na kupiga asili yako moja kwa moja.
- **Maombi yaliyoharibika au inayojirudia** — mizigo yenye sawa, kichwa kinachokosa, hakuna kuki, hakuna mlolongo wa rujia.
- **Hakuna mchezaji wa kibiashara** — hakuna kampeni, uzalishaji, au matanishi ya rujia yanayoeleza pamatanishi, na inaonekana ghafla badala ya kuongezeka kwa hatua.

## Dalili kwamba ni pamatanishi wa kijasili

- **Sababu inayoweza kusuwiri** — kampeni ya uuzaji, ujumbe unaoviral, taja ya habari, au mfumuko wa rujia kutoka chanzo kinachojulikana.
- **Njia za watumiaji za kawaida** — trafiki inatiririka kupitia safari halisi (kutua -> bidhaa -> kulipwa), inaheshimu cache, na ina kuki na wakili wa watumiaji tofauti.
- **Kuongezeka kwa asili** — mzigo unaojengwa na kuongeza mifupi badala ya kupiga ukuta ghafla.

## Jinsi ya kuamua

Usitazame mahesabu machache. **Kunatili uwiano** wa maombi kwa sekunde, mchanganyiko wa jiografia, uwiano wa cache-hit, na kiwango cha hitilafu, kisha tekeleza **kutambua kutofautiana** dhidi yake.

```text
# Correlate several signals before declaring an attack:
requests/sec       -> spiked 20x        (suspicious)
cache-hit ratio    -> dropped 95% -> 5%  (bypassing cache = suspicious)
top endpoint       -> 90% to /login      (concentrated = suspicious)
conversions/signups-> flat or zero        (no business value = attack)
```

Kalamu ni **uwiano**: pamatanishi halisi huinua vipimo vya kibiashara pia; shambulio huinua gharama ilhali mabadiliko yanabaki gorofa.

## Kwa nini inakusudiwa

Kusoma vibaya vyote viwili ni ghali kwa pande zote mbili. Kutibu pamatanishi ya uzalishaji kama shambulio na kuzuia kwa kiwango kunasimamia watumiaji wanaolipa; kutibu shambulio kama kijasili kunairuhusu kuumiza asili yako. Kunatili kwa pamoja na vipimo vya uwiano kunakuruhusu kujibu kwa kasi na sahihi, ambayo ndiyo sehemu nzima ya utambaji.