دونوں درخواستوں میں اچانک اضافہ جیسے نظر آتے ہیں، اس لیے آپ انہیں ٹریفک کی شکل سے الگ کرتے ہیں، نہ کہ صرف اس کے حجم سے۔ DDoS حملہ غیر معمولی، مشین جیسے نمونے دکھاتا ہے جس کا کوئی کاروباری سبب نہیں ہے؛ ایک نامیاتی اضافہ اصل صارفین کی پیروی کرتا ہے اور ایک سبب ہے جس کی طرف آپ اشارہ کر سکتے ہیں۔
/search یا /login) بجائے سائٹ میں پھیلی ہوئی۔User-Agent۔خام شمار کو غور سے نہ دیکھیں۔ requests-per-second، geo mix، cache-hit ratio، اور error rate کے لیے baselines برقرار رکھیں، پھر ان کے خلاف anomaly detection چلائیں۔
# Correlate several signals before declaring an attack:
requests/sec -> spiked 20x (suspicious)
cache-hit ratio -> dropped 95% -> 5% (bypassing cache = suspicious)
top endpoint -> 90% to /login (concentrated = suspicious)
conversions/signups-> flat or zero (no business value = attack)
بتانے والی بات correlation ہے: ایک اصل اضافہ کاروباری میٹرکس بھی بڑھاتا ہے؛ ایک حملہ cost بڑھاتا ہے جبکہ conversions سطح رہتے ہیں۔
دونوں کو غلط پڑھنا دونوں سمتوں میں مہنگا ہے۔ ایک launch surge کو ایک حملہ سمجھنا اور اسے rate-limit کرنا ادا کرنے والے صارفین کو روکتا ہے؛ ایک حملہ کو نامیاتی سمجھنا اسے اپنی origin کو ختم کرنے دیتا ہے۔ Baselining اور متعلقہ metrics آپ کو تیزی سے اور صحیح طریقے سے جواب دینے دیتے ہیں، جو detection کا مکمل نکتہ ہے۔