Her ikisi de taleplerde ani bir artış gibi görünür, bu nedenle bunları trafik hacminden değil, trafiğin şeklinden yola çıkarak ayırt edersiniz. DDoS, hiçbir iş sebebi olmayan anormal, makine benzeri desenler gösterir; organik artış gerçek kullanıcıları takip eder ve işaret edebileceğiniz bir sebebi vardır.
/search veya /login) işaret eder.User-Agent.Kalem çizgi grafikleri göz ile bakarak karar vermeyin. Saniye başına istek, coğrafi karışım, cache-hit oranı ve hata oranı için temel değerler tutun, sonra bunlara karşı anomali algılama çalıştırın.
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
Gösterge korelasyondur: gerçek bir artış iş metriklerini de yükseltir; saldırı maliyeti yükseltir oysa dönüşümler düz kalır.
İkisini yanlış okumak her iki yönde de pahalıdır. Bir lansman artışını saldırı olarak ele almak ve hız sınırlaması uygulamak ödeme yapan kullanıcıları engeller; saldırıyı organik olarak ele almak origin'i tüketmesine izin verir. Temel değerlendirme artı ilişkili metrikler hızlı ve doğru şekilde yanıt vermenizi sağlar, bu da algılamanın tamamının amacıdır.