Detalhes da anomalia

A tela de Detalhes da anomalia é a análise completa de um evento: quanto tráfego chegou, de onde veio, que assinatura o ataque tem, o que foi mitigado e o que ainda pode ser feito. Ela é aberta pelo botão Detalhes em qualquer listagem de anomalias — na visão geral, nas anomalias ativas ou no histórico de anomalias.

Cabeçalho

O topo resume o evento em uma linha de indicadores:

• alvo, direção e situação — o IP ou subnet atacado, se o tráfego é incoming ou outgoing, e se a anomalia está ativa ou encerrada;
• severidade — quanto o tráfego passou do limite configurado, em percentual;
• pico de tráfego e pico de PPS — os valores máximos durante a janela do ataque;
• tempo de atividade, quantidade de vetores e principal vetor;
• principal país e principal IP de origem, além do total de IPs únicos;
• threshold excedida e opção excedida — qual threshold e qual decodificador dispararam a detecção.

Logo abaixo vêm os dois gráficos do evento — volume de tráfego e taxa de pacotes — com entrada e saída sobrepostas e a janela do ataque destacada.

Ainda no cabeçalho existem dois atalhos importantes:

• Ir para o decoder — leva direto ao decodificador que gerou a detecção, para ajuste do valor;
• É um falso positivo — abre o assistente descrito no fim desta página.

As abas da análise

Visão geral

Traz a distribuição de tamanho de pacotes comparada com a baseline (pacotes pequenos, abaixo de 128 bytes, são típicos de SYN flood e amplificação; pacotes grandes sugerem flood volumétrico), as métricas de IPs de origem (IPs únicos, subnets /24 únicas e pontuação de diversidade), o resumo da distribuição, os ataques por tipo, o PPS por protocolo e as principais portas de origem e destino.

Nessa aba também ficam as métricas de concentração de origem, que indicam se o ataque veio de poucas fontes ou de uma botnet dispersa: HHI, GINI, Effective N, Shannon (para IPs e para ASNs), dominância do top-IP e a curva de Lorenz. Concentração alta favorece bloqueio por origem; dispersão alta indica que o caminho é mitigar pelo vetor.

Caminho do fluxo

Mostra o trajeto do tráfego malicioso: ASN de origem -> interface de entrada -> interface de saída -> vítima. É o que responde "por qual trânsito o ataque entrou", informação necessária para decidir por onde aplicar o FlowSpec ou pedir mitigação ao upstream.

Impacto

Estima o efeito do ataque na rede: saturação de interface, orçamento de erro de SLA, serviços afetados e o dano colateral — prefixos vizinhos que compartilham infraestrutura e foram indiretamente afetados, com o motivo e a queda de tráfego observada.

Comparar

Coloca o evento em perspectiva: ataque atual vs baseline das últimas 24 horas, anomalias simultâneas na frota, atividade de ataque dos últimos 14 dias (mapa de calor por severidade e contagem), a assinatura estatística contra a baseline de 90 dias e a colmeia ASN com a telemetria da campanha.

Geografia

Mapa mundial das fontes (tamanho da bolha = IPs de origem, cor = tráfego), destaque de origem com os principais contribuintes e a dispersão, e os principais países de origem comparados com a baseline.

Forense

A análise mais técnica do evento:

• correspondências de assinatura do motor DPI, ordenadas por confiança;
• distribuição de flags TCP e distribuição de TTL (buckets de hop estimados);
• impressão digital do atacante;
• fatores de amplificação — razão resposta ÷ requisição por vetor refletor, com a mitigação sugerida;
• anomalias de pacotes;
• entropia de Shannon por campo de cabeçalho, testes estatísticos de aleatoriedade e entropia de payload ao longo do tempo.

Entropia alta em portas e IPs de origem indica spoofing ou randomização; entropia baixa indica origem real e concentrada.

Reputação

Cruza os IPs de origem com inteligência externa: famílias de botnet detectadas, correspondências com C2 conhecidos, correspondências em feeds de ameaça (com taxa de correspondência e data de atualização de cada feed) e a reputação dos ASNs envolvidos.

Playbook

O playbook de resposta lista, em ordem, as etapas automatizadas e manuais tomadas neste evento — o que o sistema executou sozinho e o que ficou pendente de ação humana.

Mitigação

Mostra as respostas acionadas pela anomalia e todas as ações geradas por elas, com momento de execução, tipo, destino, datas e status (veja a legenda das ações).

Inteligência

Reúne as leituras que o sistema faz do evento em forma de perguntas objetivas — botnet envolvida?, estratégia de mitigação, origens do ataque, risco de recorrência, análise de pacotes e FlowSpec vs Blackhole. Cada bloco explica o raciocínio a partir dos dados coletados nas outras abas.

Registros

Os dados crus por trás de tudo: cada ataque agrupado na anomalia (data, IP, tipos, protocolo, direção, tráfego e PPS de entrada, intensidade e pacotes) e a lista de ataques similares já registrados, com o índice de similaridade.

Exportar e compartilhar

No rodapé da tela ficam três ações:

• Baixar relatório PDF — layout otimizado para impressão, útil para enviar ao cliente;
• Copiar link compartilhável — para abrir a mesma análise com o time;
• Exportar dados do ataque — CSV para análise externa.

Marcar como falso positivo

Quando a detecção foi indevida — tráfego legítimo que cresceu além do limite configurado — o botão É um falso positivo abre um assistente que recalcula o limite adequado a partir do tráfego real:

• Período de análise: 1h, 6h, 24h ou 7d;
• Sensibilidade: Conservador (P99 + 20%), Equilibrado (P95 + 15%) ou Agressivo (P95 + 5%).

Clique em Calcular sugestões e depois em Aplicar sugestões para gravar os novos valores na threshold. O mesmo mecanismo, aplicado à threshold inteira, está documentado em Smart Baseline.