是通过定义“流量模式”来识别网络流量的正常情况，这是威胁检测和警报所必需的。DDoS缓解还需要识别传入流量，以将真实人类产生的流量与（如爬虫）产生的流量，以及被劫持Web浏览器的流量区分开。该过程通过比较签名和检查流量的不同属性来完成，包括IP地址、Cookie变体、HTTP头字段和JavaScript足迹。