Histórico de anomalias
Consulta e exportação do histórico de anomalias do Anti-DDoS.
O Histórico de anomalias guarda todas as anomalias já detectadas — as encerradas e as que ainda estão ativas. É a tela usada para investigar um evento passado, montar relatório para o cliente ou avaliar se uma threshold está gerando detecções demais.
Ela fica em Dashboard -> Histórico de Anomalias:
A listagem
As colunas são as mesmas da tela de anomalias ativas: ID, IPv4/IPv6, Início e Término da Anomalia, Tipo de Ataque(s), Ataques, Bits e Opções.
O campo Pesquisar filtra por qualquer coluna — o mais comum é buscar pelo IP ou pela subnet atacada. O seletor Resultados por página aceita 10, 25, 50 ou 100 linhas.
Em Opções, o botão Detalhes abre a análise completa da anomalia.
Construtor de filtros
Disponível a partir da versão 2.12.4.
Acima da tabela fica o card Filtros, o mesmo construtor dinâmico dos dados brutos. Cada linha combina uma dimensão, um operador (= ou !=) e um valor; entre as linhas você escolhe o conector E ou OU. A expressão montada aparece embaixo, em texto, antes de você clicar em Consultar.
As dimensões disponíveis são:
| Dimensão | O que filtra |
|---|---|
| Interface | A interface monitorada por onde o ataque passou. Inclui a opção Interface não identificada, para as anomalias cuja interface não pôde ser determinada. |
| Prefixo | Endereço ou prefixo, IPv4 e IPv6. Uma anomalia é encontrada quando o alvo dela e o prefixo pesquisado se sobrepõem. |
| Porta conhecida (serviço) | O serviço detectado — 53 DNS, 123 NTP, 443 HTTPS/QUIC e assim por diante. |
| Protocolo | O protocolo predominante do ataque. |
Os botões Limpar filtros, Adicionar filtro e Consultar ficam no rodapé do card.
A interface de cada ataque é descoberta depois do fato, cruzando a janela de tempo do ataque com o fluxo do roteador. Anomalias muito recentes, ou anteriores à versão 2.12.4, podem cair em Interface não identificada até a descoberta rodar. As demais dimensões não dependem disso.
O Anti-DDoS classifica cada ataque pelo serviço detectado, não pela porta observada no fluxo. Por isso o filtro de porta oferece uma lista fechada: portas fora dela (8443, por exemplo) não podem ser pesquisadas aqui — para esse tipo de busca, use os dados brutos.
Marcando falsos positivos
Em Opções, o botão Falso positivo marca a anomalia como um alarme indevido; Desmarcar desfaz. As anomalias marcadas ganham o selo Falso positivo ao lado do alvo.
No cabeçalho do card, Todas como falso positivo marca de uma vez as anomalias da página visível que ainda não foram julgadas — o limite à página é proposital, para que um clique não classifique centenas de registros que ninguém olhou. Anomalias já marcadas por outra pessoa mantêm o autor e a data originais.
A marcação apenas corrige o registro: ela não expira a anomalia nem altera decoder algum. Retunar a threshold continua sendo trabalho do Smart Baseline. O que ela alimenta é o relatório de efetividade das Thresholds, que sem essa marcação não teria como medir redução de falsos positivos.
Exportação
Acima da tabela ficam os botões Copy, CSV, PDF e Print, que exportam exatamente o que está filtrado na tela. Para um relatório detalhado de um único evento — com gráficos, geografia e forense — use o botão Baixar relatório PDF dentro dos detalhes da anomalia.
As anomalias antigas são removidas conforme a política de retenção definida em Configurações do Anti-DDoS. Se precisar guardar um evento por mais tempo do que a retenção configurada, exporte-o antes.