Làm sao phân biệt một cuộc tấn công DDoS với một đợt tăng traffic tự nhiên?

Question

Accepted Answer

Cả hai đều trông giống như một đợt request tăng vọt đột ngột, nên bạn phân biệt chúng bằng **hình dạng của traffic, không chỉ khối lượng**. Một DDoS biểu hiện các mẫu bất thường, giống máy móc và không có lý do nghiệp vụ; một đợt tăng tự nhiên đi theo người dùng thật và có nguyên nhân bạn chỉ ra được.

## Dấu hiệu của một DDoS

- **Tập trung vào một endpoint** — hàng nghìn request dồn vào một đường dẫn tốn kém duy nhất (vd. `/search` hoặc `/login`) thay vì trải đều khắp site.
- **Geo và user agent lạ** — traffic từ những vùng bạn không phục vụ, hoặc một `User-Agent` lặp đi lặp lại/rỗng/giả mạo.
- **Cache-hit ratio thấp** — kẻ tấn công tạo query string độc nhất để bypass CDN và đập thẳng vào origin.
- **Request dị dạng hoặc lặp lại** — payload giống hệt nhau, thiếu header, không có cookie, không có chuỗi referrer.
- **Không có động lực nghiệp vụ** — không có chiến dịch, ra mắt, hay referral nào giải thích đợt tăng, và nó xuất hiện tức thì thay vì tăng dần.

## Dấu hiệu của một đợt tăng tự nhiên

- **Một nguyên nhân truy ra được** — một chiến dịch marketing, một bài viết viral, một bài báo nhắc đến, hay một đợt referral tăng từ nguồn đã biết.
- **Các đường đi bình thường của user** — traffic chảy qua những hành trình thật (landing -> sản phẩm -> thanh toán), tôn trọng cache, và mang theo cookie cùng user agent đa dạng.
- **Tăng dần tự nhiên** — tải xây dần rồi thoái lui thay vì đụng tường tức thì.

## Cách quyết định

Đừng nhìn bằng mắt các con số thô. **Duy trì baseline** cho requests-per-second, tỷ lệ geo, cache-hit ratio, và error rate, rồi chạy **anomaly detection** dựa trên chúng.

```text
# Tương quan nhiều tín hiệu trước khi tuyên bố một cuộc tấn công:
requests/sec       -> tăng vọt 20x       (đáng ngờ)
cache-hit ratio    -> tụt 95% -> 5%       (bypass cache = đáng ngờ)
top endpoint       -> 90% vào /login      (tập trung = đáng ngờ)
conversions/signups-> phẳng hoặc bằng 0   (không có giá trị nghiệp vụ = tấn công)
```

Điểm mấu chốt là **sự tương quan**: một đợt tăng thật cũng nâng các chỉ số nghiệp vụ; một cuộc tấn công nâng chi phí trong khi conversion vẫn phẳng.

## Tại sao điều này quan trọng

Đọc sai hai trường hợp này tốn kém theo cả hai hướng. Coi một đợt tăng do ra mắt là tấn công rồi rate-limit nó sẽ chặn người dùng trả tiền; coi một cuộc tấn công là tự nhiên sẽ để nó vắt kiệt origin của bạn. Baselining cùng các chỉ số tương quan cho phép bạn phản ứng nhanh và đúng — chính là mục đích của việc phát hiện.