Detectar que um endereco seu virou alvo de ataque volumetrico e propor o
blackhole (RTBH) daquele endereco.
Imagem: cartao de ciclo de vida, tabela de eventos e alvos detectados.
Nao anuncia nada sozinho. O comportamento padrao e ensaio: o sistema decide,
registra o que teria feito, e para. Passar para anuncio real e uma acao
deliberada do administrador, por equipamento. Nao existe caminho automatico
para armado.
Cada equipamento passa por tres fases, na ordem:
| Fase | O que acontece |
|---|---|
| Aprendizado | Primeiras 24 horas. Mede o normal, nao decide nada. |
| Ensaio | Detecta e registra o evento. Nao anuncia. |
| Armado | Anuncia de fato. So por acao do administrador. |
Piso. Cada prefixo tem um piso de trafego abaixo do qual nada e evento. O
piso e aprendido do proprio historico do prefixo, e diferente para bloco
residencial, servidor e CGNAT. Um pico que derruba um cliente residencial e
terca-feira normal para um bloco de hospedagem.
Confirmacao. O sistema exige que a condicao se repita em varias janelas
seguidas antes de abrir evento. Isso descarta pico isolado de medicao.
Forma. Volume alto sozinho nao basta. O sistema tambem olha a forma do
trafego: muitas origens distintas, pacote pequeno, protocolo tipico de
amplificacao. Trafego alto com forma de uso normal nao vira evento.
Cada linha e um alvo detectado e uma janela. As colunas de forma dizem por
que aquilo foi classificado como ataque: numero de origens, tamanho medio de
pacote e protocolo. Sao elas que voce olha antes de decidir agir.
O alvo e sempre um endereco unico, nunca um bloco inteiro. Blackhole de bloco
tira do ar todos os clientes dele.