INTEGRITY Документация

← Network Flow / network-flow / rules

Правило динамического порога

Правило динамического порога (бета-версия) отслеживает характер сетевого трафика и автоматически корректирует порог для защиты от распределённых атак типа отказ в обслуживании (DDoS) на основе истории трафика. Network Flow (ранее Magic Network Monitoring) сравнивает суммарный трафик по всем IP-префиксам и адресам, указанным в правиле, с этим динамическим порогом, измеряемым в битах или пакетах в секунду. Если трафик превышает порог, Network Flow отправляет оповещение.

Чтобы использовать правила динамического порога, необходимо отправлять данные NetFlow или sFlow в Cloudflare. Настроить правила динамического порога можно только через Network Flow Rules API : они недоступны в панели управления.

Поля настройки правила

Поле Описание
Название правила Должно быть уникальным и не может содержать пробелы. Поддерживаются символы A-Z, a-z, 0-9, подчеркивание (_), дефис (-), точка (.), и тильда (~). Максимум 256 символов.
Тип правила zscore
Цель Задается в битах в секунду или в пакетах в секунду.
Чувствительность Определяет, насколько легко аномалии трафика вызывают оповещения. Доступные значения: low, medium и high. Чем выше чувствительность, тем меньшее отклонение от нормального трафика требуется для срабатывания оповещения.
Auto-advertisement Если вы являетесь Magic Transit On Demand клиентом, вы можете включить эту функцию для автоматического включения Magic Transit при срабатывании динамического порогового значения правила. Network Flow поддерживает возможность Magic Transit работать с супернетами. Подробнее см. в раздел Auto-Advertisement.
IP-префикс правила IP-префикс, связанный с правилом отслеживания объёма трафика. Должен быть указан в формате CIDR, например 160.168.0.1/24. Максимум составляет 5,000 уникальных записей CIDR. Чтобы узнать больше и посмотреть пример, см. IP-префиксы правила раздел.

Документация по API

Чтобы увидеть пример вызова API для настройки с помощью CURL и ожидаемый результат при успешном ответе, перейдите в Правила раздел в документации API Network Flow.

Как рассчитывается динамический порог правила

Z-показатель сравнивает краткосрочные шаблоны трафика (пятиминутное окно) с долгосрочными базовыми показателями (четырёхчасовое окно) для обнаружения аномалий. Порог автоматически корректируется по мере накопления истории трафика.

Z-показатель рассчитывается по следующей формуле:

Z = (X - μ) / σ