Flow: visão e análise

O que é o Flow Novo na 7.2

Os roteadores de borda do provedor (chamados de Exportadores) enviam telemetria de fluxo, nos formatos NetFlow v5/v9, IPFIX ou sFlow v5, para um coletor próprio que roda no mesmo servidor do Ravi Monitor. Com esses dados, o Flow permite:

• Ver o tráfego do provedor em tempo real: por exportador, interface, ASN, protocolo, país e cliente.
• Detectar ataques DDoS automaticamente, com classificação do vetor exato e severidade medida pelo impacto real no link.
• Analisar um incidente a fundo: anatomia do ataque, caminho pelo backbone, forense e parecer de IA.
• Mitigar com FlowSpec cirúrgico ou blackhole RTBH via BGP (detalhes em Mitigação: FlowSpec e RTBH).
• Gerar relatórios de percentil 95 para cobrança de trânsito, comparativos e post-mortem em PDF.

O acesso é pelo item Flow no menu lateral. O item fica sempre visível: é por ele que você entra para ativar e configurar o ambiente, mesmo quando ainda não há nada cadastrado.

Pré-requisitos

Conceitos essenciais

Alguns termos aparecem em todas as telas do Flow. Vale entender cada um antes de operar o ambiente.

Dashboard do Flow

A tela principal do Flow é um painel NOC de tempo real: ela se atualiza sozinha a cada 3 segundos, sem precisar recarregar a página.

Topo da tela

• O título Flow traz uma bolinha de status do coletor: verde com Coletor online ou vermelha com Coletor offline. Um selo laranja Em manutenção — alertas silenciados aparece quando há janela de silêncio ativa.
• Botões de navegação: Explorar, Relatórios, Sankey de fluxo e Log de incidentes. A engrenagem abre o modal Configurações do Flow e só aparece para usuários com nível de gerência do Flow.
• Sem nenhum exportador cadastrado, a tela mostra Nenhuma fonte de fluxo configurada e orienta a cadastrar um roteador na engrenagem.

Barra de visão geral

Três indicadores sempre agregados de todos os exportadores: Tráfego encaminhado, Fluxos por segundo e Ataques ativos. O Tráfego encaminhado é o total que passa pelos equipamentos agora, em um número único; o ícone de informação ao lado do rótulo explica o que ele representa e onde acompanhar o download e o upload reais, interface por interface (card Interfaces). O card de ataques fica vermelho quando o número é maior que zero.

Card Risco da rede

O card Risco da rede responde à pergunta "estou seguro hoje?" com um score executivo de 0 a 100 em um medidor de anel, classificado em Baixo, Moderado, Alto ou Crítico. Ao lado, cada fator que pesou no score aparece em uma linha própria, com o peso (+N) e a descrição do que significa e do que fazer, por exemplo: Coletor fora do ar, ataques críticos ativos, ataques sem mitigação, Descarte de pacotes alto, RAM livre baixa, DNS inacessível, alertas de roteamento abertos, Mitigação sem sessão BGP ativa e Nenhuma rede monitorada. O ícone de informação no título abre o guia Como o risco é calculado, com as faixas de cada nível. Quando está tudo bem, o card informa Nenhum fator de risco no momento.

Banner de ataque

Quando há um evento ativo, a faixa Tráfego sob ataque aparece no topo: vermelha pulsante em evento crítico, laranja em atenção. Cada linha traz a vítima, o vetor, o pico, o percentual do link consumido e a Ação sugerida, com o botão Revisar e aprovar ação que abre o console de incidente. Sem eventos, a área mostra Nenhum ataque em andamento.

Faixa de exportadores

Um chip por exportador (mais um chip para "todos") com nome, taxa atual, minigráfico e um contador vermelho de ataques quando houver. O chip fica vermelho quando o exportador está sob ataque e mostra Sem fluxo recebido quando o roteador parou de exportar. Clicar em um chip filtra todos os cards de detalhe para aquele exportador.

Cards de detalhe

Drill-down

Clicar em qualquer IP, ASN, porta, protocolo ou interface dos tops e donuts abre um modal com a série temporal e as estatísticas daquele valor. É o caminho rápido de investigação sem sair do dashboard. Para análises mais elaboradas, use o Explorer.

Anomalias de tráfego (baseline)

O card Anomalias de tráfego (baseline) lista interfaces e prefixos fora do normal aprendido: rótulo, direção (entrada ou saída), valor atual contra o Normal, desvio e desde quando. Quando está tudo certo, mostra Tudo dentro do normal.

A ação Reconhecer (com confirmação Reconhecer anomalia?) remove a anomalia da lista de todos os usuários, deixa de alertar em qualquer canal e mantém o registro no histórico. Quem reconheceu ainda a vê e pode usar Reabrir.

Tráfego em porta 0

Monitor dedicado a pacotes sem porta de transporte, tipicamente fragmentos de IP ou tráfego forjado: picos podem indicar ataque de fragmentação invisível nas visões agregadas. O card mostra o percentual do tráfego total (fica vermelho quando alto), bps e pps, um minigráfico de 6 horas e as colunas Top origens e Top destinos. O link Analisar no Explorer abre o Explorer já filtrado para esse tráfego.

Saúde do Flow

O card Saúde do Flow monitora o próprio ambiente. O título indica Ativo (verde) ou Coletor fora do ar (vermelho), com o tempo no ar há. As métricas usam semáforo verde, laranja e vermelho: Pacotes/s, Fluxos/s, Descarte interno, Descarte do kernel, Memória (RSS), Rotas na RIB, Lag do rollup (atraso da gravação no banco), Tabelas do Flow (tamanho em disco), RAM livre do host, carga por núcleo, IO Wait e Swap. O rodapé Dependências externas testa ativamente DNS, Internet IPv4 e IPv6, servidor de atualização, Telegram e o proxy de IA.

Log de incidentes

O botão Log de incidentes abre o histórico de eventos de ataque e anomalias, com filtros Ativos e Todos e colunas Quando, Tipo, Alvo, Severidade, Status (Ativo, Resolvido ou Mitigando), Duração, pico e Alertado via (ícones dos canais que receberam o alerta). A lista se atualiza a cada 5 segundos enquanto está aberta, e clicar em um evento abre o console de incidente.

A ação Marcar falso positivo resolve e silencia o evento e ensina uma exceção ao detector, para o mesmo padrão não alertar de novo. A confirmação explica exatamente isso antes de aplicar.

Explorer de tráfego

O botão Explorar abre um pivot livre sobre os fluxos amostrados. Ele responde perguntas do tipo "qual o top de ASNs de destino no link X entre 14h e 16h de ontem, só UDP?".

Controles

Visualizações

• Linha (tempo): série temporal empilhada dos top N.
• Radar: comparação de proporções entre os itens.
• Dispersão (portas): gráfico de bolhas relacionando valor, taxa e quantidade de fluxos.
• Matriz (conversação): mapa de calor 2D cruzando a dimensão principal com a Dimensão 2, o "quem fala com quem" (por exemplo ASN contra ASN).
• Tabela top N com bps, pps, Participação e Fluxos. IPs presentes em listas de ameaça recebem um selo vermelho.

Usuários de grupos escopados só conseguem pivotar sobre os exportadores liberados para o grupo.

Visão por cliente

O card Clientes transforma o Flow em uma visão comercial: ele agrega os prefixos de Minhas redes pelo campo Cliente do cadastro. É a tela para suporte e vendas responderem "quanto esse cliente está usando da banda contratada, e ele está sob ataque?".

A lista ordena por "ataques primeiro, depois maior tráfego" e mostra, por cliente: tráfego atual de entrada e saída, a Banda contratada (soma da banda dos prefixos, em Mbps), o percentual de uso, o número de Prefixos e os ataques ativos.

1. Cadastre os prefixos em Minhas redes, preenchendo o campo Cliente e a banda contratada de cada bloco.
2. No dashboard, abra o card Clientes e clique em um cliente.
3. O drill mostra o gráfico Tráfego do cliente com seletor de janela, a lista de prefixos com a taxa de cada CIDR e os ataques em curso contra ele.

Sem prefixos com cliente preenchido, o card orienta: Sem clientes. Cadastre prefixos com o campo "cliente" na configuração. Este card agrega o provedor inteiro e por isso fica oculto para usuários de grupos escopados por exportador.

Sankey e mapa-múndi

Sankey de fluxo

O botão Sankey de fluxo conta a história do tráfego de relance, em estágios encadeados:

• Download: Origem ASN → Upstream → Interface → Cliente.
• Upload: Cliente → Interface → Upstream → Destino ASN.

Controles: Direção, Janela (1h, 6h, 24h, 7d ou personalizado), Roteador (padrão Todos) e Estágios por coluna (top 5 a 15 por estágio; a cauda vira Outros). Nós especiais indicam dados que o Flow não conseguiu atribuir: Sem upstream BGP, Sem cliente, Sem interface e Desconhecido. Cada elo mostra o bps no tooltip e o cabeçalho traz o Tráfego total.

Mapa-múndi ao vivo

O card de mapa do dashboard tem quatro modos, selecionados por botões no título:

• Fluxos: pares país a país com arcos animados (partículas na direção do tráfego), etiqueta de bps e pins com bandeira, considerando os últimos 5 minutos.
• Download, Upload e Total: bolhas por país com o agregado ao vivo.

A lista lateral é clicável e sincroniza o realce com o mapa. Durante um incidente, a vítima ganha um pin próprio. O mesmo componente de mapa aparece no console de incidente e como widget no ambiente Dashboards.

O mapa abre travado, para que a rolagem da página não mude o zoom nem a posição sem querer. O botão Desbloquear, no canto superior direito do mapa, libera o zoom e o reposicionamento e vira Bloquear para travar novamente.

• Por padrão o mapa usa tiles online; a opção Mapa offline (tiles locais) desenha contornos de países locais, ideal para servidores sem acesso à internet.
• A geolocalização por país usa base local, sem custo. A granularidade de cidade é opcional (GeoIP nível cidade (.mmdb)) e depende da capacidade do servidor.

Console de incidente

O console Incidente DDoS é a central de resposta a um ataque. Ele abre pelo botão Revisar e aprovar ação do banner de ataque ou clicando em um evento no Log de incidentes. O cabeçalho resume o tipo e vetor do ataque, a Vítima (IP, porta e nome reverso) e os indicadores de Pico, Duração, Início, severidade e percentual do link.

Os blocos, na ordem em que aparecem:

1. Ação: a Ação sugerida traz uma recomendação instantânea (FlowSpec ou RTBH, conforme o vetor e o equipamento) e os botões Mitigar por vetor e Blackhole (RTBH), este com o aviso Derruba TODO o tráfego do alvo:. Antes de executar, o sistema roda um Diagnóstico de viabilidade (sessão BGP ativa? o peer aceita FlowSpec?) e pode avisar Não foi possível mitigar agora, com a opção Mitigar mesmo assim. O passo a passo da mitigação está em Mitigação: FlowSpec e RTBH.
2. Analista DDoS (IA): parecer de IA sobre o evento (detalhado na próxima seção).
3. Tráfego da vítima durante o ataque: gráfico da vítima na janela do evento.
4. Caminho do ataque: um Sankey escopado ao evento, mostrando Origem (ASN) → Entrada (interface de entrada) → Saída (interface de saída) → vítima. Abaixo, a Saturação de interface compara o pico real com a capacidade de cada interface envolvida, classificando em Crítico (85% ou mais), Atenção (60% ou mais) e Saudável.
5. Forense leve (quando há dados): Distribuição de tamanho de pacote com interpretação automática (pacote pequeno sugere flood ou amplificação, pacote grande sugere tráfego volumétrico/conteúdo ou fragmentação); Métricas de origem com IPs distintos, Sub-redes /24, ASNs, concentração Top-10 e Pacotes/origem (sinais de botnet contra poucas origens); Flags TCP (composição) com a combinação dominante; análise de amplificação com o fator estimado; fingerprint de cabeçalhos (sistema operacional provável, TTL, janela TCP, indício de spoofing) quando a forense profunda está ligada; reputação das origens; e Comparar com o normal, com o pico contra o baseline, Ataques à vítima (7d) e Anomalias simultâneas na rede.
6. Capturar forense: o modal Captura forense sob demanda gera o comando pronto de espelhamento TZSP (Mikrotik) ou de captura via SSH/SFTP (Huawei, usando o cofre de credenciais) apontando ao coletor. O conteúdo dos pacotes nunca é armazenado. O recurso depende da capacidade do servidor.
7. Anatomia: Top origens do ataque lista até 20 IPs com ASN, país e percentual de pacotes, com selo de Ameaça por origem (Lista negra, Tor ou Scanner) e o resumo de quantas origens estão em listas de ameaça. Completam o bloco Top ASNs de origem, Origem geográfica do ataque (mapa com arcos das origens até a vítima) e Quebra por país. Logo no início do ataque pode aparecer Sem origens registradas ainda.: a anatomia se preenche conforme o evento evolui.
8. Relatórios: botões Relatório PDF e Post-mortem (PDF) (veja Post-mortem automático).

Analista IA de incidente

O bloco Analista DDoS (IA) do console pede um parecer em linguagem natural sobre o evento. Ao clicar em Analisar com IA, o sistema reúne toda a evidência disponível (sinais do detector, portas dominantes, forense, caminho do ataque, threat intelligence) e envia para o motor de IA; enquanto processa, mostra Analisando o ataque….

O resultado vem estruturado:

A análise é treinada para evitar falso positivo: considera backscatter ICMP, tráfego legítimo de CDN e web e o cenário de saída, em que um cliente do provedor é a origem do ataque.

Relatórios e percentil 95

O botão Relatórios abre a tela de capacidade e cobrança. Diferente do Explorer, os relatórios usam medições completas de 1 minuto, sem amostragem: são os números para fechar fatura de trânsito.

1. Escolha o Escopo: Interface ou Cliente, e selecione o alvo.
2. Escolha o Período: Últimos 7 dias, Últimos 30 dias, Mês atual ou Mês anterior.
3. Opcionalmente marque Comparar com o período anterior.
4. Clique em Aplicar. Para exportar, use Gerar PDF.

Indicadores exibidos:

• 95º percentil (cobrança): o valor de billing, com detalhamento de entrada e saída. O cálculo usa o maior valor entre entrada e saída em cada minuto do período.
• Pico e Média do período.
• Utilização: o percentil 95 dividido pela Capacidade, com barra colorida (verde, laranja e vermelho conforme a faixa). Sem capacidade conhecida, a tela indica capacidade não definida.
• Projeção de saturação: Satura em ~ N dias (ou meses) com faixa de confiança, tendência estável ou já saturado.

Com a comparação marcada, cada indicador ganha o delta percentual vs anterior contra o período imediatamente anterior de mesma duração: seta vermelha quando subiu, verde quando caiu. O gráfico mostra as barras de Pico diário, a linha tracejada do percentil 95 e a linha da capacidade.

Post-mortem automático

O post-mortem é o relatório de encerramento de um ataque, pronto para arquivar ou repassar ao cliente atingido. Ele existe em dois modos:

• Automático: quando um ataque crítico encerra e a opção de post-mortem automático está ligada nas configurações do Flow, o sistema gera o PDF uma única vez e o anexa ao e-mail de "ataque encerrado".
• Sob demanda: o botão Post-mortem (PDF) no console de incidente gera e exibe o PDF na hora, para qualquer evento.

O documento ("Relatório de incidente DDoS") traz: vítima com nome reverso, vetor e protocolo, exportador, pico em bps e pps, duração, início e fim, status e ação sugerida; o gráfico da linha do tempo; as 20 maiores origens com ASN, país e percentual, marcando as que estão em listas de ameaça; os top ASNs; a quebra por país; e o resumo de origens em listas de ameaça. O idioma do PDF acompanha o idioma do usuário que o gera; no envio automático por e-mail, o idioma do sistema.

Previsão de saturação

O card Previsão de saturação antecipa upgrades de link: ele lista as interfaces e clientes em tendência de saturar, da mais próxima para a mais distante, com o nome, a estimativa Satura em ~ N dias, a faixa de confiança (mínimo e máximo) e a utilização atual da capacidade. Quando não há tendência, mostra Nenhuma interface ou cliente com tendência de saturação no momento. Clicar em um item leva ao relatório completo do alvo.

Como a projeção funciona:

• O método é uma regressão linear sobre o pico diário dos últimos 30 dias; a faixa de confiança vem da incerteza da tendência.
• Só entram alvos com capacidade definida: velocidade descoberta por SNMP, Capacidade contratada manual da interface ou banda contratada do cliente.
• São necessários pelo menos 5 dias de histórico para projetar.

A mesma projeção aparece na tela de Relatórios como o indicador Projeção de saturação do alvo selecionado.

Alertas de hijack BGP

Com a coleta de rotas BGP configurada (veja Sessão BGP de mitigação), o card Tabela BGP mostra o estado do roteamento e vigia sequestros de prefixo. Sem a coleta, o card indica Coleta de rotas BGP desligada.

Estado e consulta

• O card informa o número de rotas na tabela e as Sessões com estado Estabelecida ou Inativa.
• O campo Consultar IP na tabela BGP com o botão Consultar faz um lookup: retorna Prefixo, AS_PATH, Origem (AS), Next-hop, Peer/Upstream e Comunidades; quando não há rota, mostra Sem rota para o IP.

Alertas de roteamento

A área Alertas de roteamento é a detecção de hijack. Ela compara a origem de cada prefixo contra o histórico de origens válidas e abre dois tipos de alerta:

Ações por alerta: Ver detalhes abre o modal com a explicação ("o que é", "o que significa", "por que sinalizamos"); Reconhecer tira o alerta da lista; Ignorar esmaece o alerta no fim da lista, e ele some sozinho quando a condição se resolver. Alertas de roteamento abertos pesam no Risco da rede.

Simulação de ataque

O Simulador "E se?" permite calibrar a detecção antes do primeiro ataque real: você descreve um ataque hipotético e vê se a detecção dispararia, e por quê. A simulação roda o motor real do detector, exatamente o mesmo que roda em produção, sem gravar nada.

O simulador fica em Configurações do Flow, aba Detecção, no card Simulador "E se?", e exige nível de gerência do Flow.

1. Escolha um Modelo pronto ou monte o cenário manualmente.
2. Defina o Tipo de ataque (floods UDP/TCP/SYN/ICMP, fragmentação, flood de consultas DNS, as amplificações ou genérico), a direção (entrada ou saída) e o escopo (global ou um prefixo).
3. Preencha os números do cenário: Pacotes/s, Tráfego (Mbps), Origens distintas, % servido de web (:443/:80) e Destinos distintos (carpet/saída).
4. Clique em Simular.

O resultado mostra, regra por regra, se o limiar estouraria, qual seria o score de confiança e se um alerta seria disparado.