Smart Baseline
Cálculo automático dos limites de uma threshold a partir do tráfego real.
Definir os limites de uma threshold na mão exige conhecer o tráfego normal de cada prefixo em cada protocolo. O Smart Baseline faz esse trabalho: analisa o histórico real dos prefixos associados à threshold e sugere um valor para cada decodificador habilitado.
O acesso é pelo botão Smart Baseline na tela de edição da threshold, em Parâmetros e ações -> Thresholds -> Editar:
Configurando o cálculo
São dois parâmetros:
Período de análise — quanto histórico considerar: 1h, 6h, 24h ou 7d. Períodos curtos reagem a mudanças recentes de perfil; 7d cobre a variação de dias úteis e fim de semana e é a escolha mais segura para produção.
Sensibilidade — a folga aplicada sobre o tráfego observado:
| Sensibilidade | Base do cálculo | Quando usar |
|---|---|---|
| Conservador | P99 + 20% | Padrão. Minimiza falso positivo, ao custo de detectar ataques pequenos mais tarde. |
| Equilibrado | P95 + 15% | Meio-termo entre sensibilidade e ruído. |
| Agressivo | P95 + 5% | Detecta mais cedo, com mais chance de falso positivo. Exige acompanhamento. |
Além do percentil com folga, o algoritmo eleva a sugestão até que nenhum ponto do histórico a ultrapasse e garante uma margem sobre o pico observado — ou seja, o valor sugerido não dispararia com o tráfego que já aconteceu no período analisado.
As sugestões
Clique em Calcular e a tabela traz uma linha por decodificador:
| Coluna | O que mostra |
|---|---|
| Decodificador | O protocolo ou vetor analisado. |
| Tipo e Direção | Se a linha é de IP único ou subnet, e o sentido do tráfego. |
| Atual | O valor configurado hoje. |
| Sugerido | O valor calculado. |
| Variação | A diferença percentual entre os dois. |
| Confiança | Quão sólida é a sugestão, considerando volume de dados e estabilidade da série. |
| Pior prefixo | O prefixo da threshold que mais pesou no cálculo. |
Decodificadores sem dados suficientes ou sem tráfego no período são marcados como ignorados — não há o que calcular a partir de série vazia.
Aplicando
Os filtros acima da tabela ajudam a revisar em lote: Somente elevados, Somente reduzidos, Alta confiança e Variação ≥ 10%. Com Selecionar todos / Desmarcar todos você escolhe o que aceitar e confirma em Aplicar selecionados.
Sugestão aplicada é alteração de configuração: passe por Status do sistema e clique em Aplicar alterações para que os novos limites valham na detecção. Vale também simular no What If? se, com os novos valores, os vetores que você quer cobrir ainda disparariam.
Para casos pontuais — uma detecção indevida específica — o mesmo cálculo está disponível no botão É um falso positivo dentro dos detalhes da anomalia.