Аномалии

Как посмотреть детали зафиксированной аномалии трафика, скачать отчёт в PDF и настроить уведомления об аномалиях.

Что это

Аномалии — инструмент, с помощью которого можно отслеживать события, при которых система защиты фиксирует резкий всплеск трафика к вашему ресурсу.

Когда пригодятся

Инструмент поможет:

Посмотреть детали трафика, поступавшего на ваш ресурс во время аномалии, и разобраться, с чем мог быть связан всплеск — с DDoS-атакой или другой подозрительной активностью.
Оценить работу системы защиты: сколько всего запросов поступило на ресурс во время аномалии, сколько из них система не пропустила к вашим серверам-источникам и по каким причинам.
Скачать данные об аномалии в PDF-формате и поделиться готовым отчётом с теми, у кого нет доступа в панель управления.

Где находятся аномалии в UI

Все зафиксированные аномалии собраны в разделе Защита приложений → Аномалии. Здесь вы можете:

посмотреть информацию обо всех аномалиях за нужный период;
изучить детали конкретной аномалии.

Как работать с отчётами — рассказываем в разделах ниже.

Сводный отчёт по аномалиям

По каждой аномалии в таблице вы увидите:

ID — уникальный идентификатор аномалии.
Начало — дата и время начала аномалии.
Конец — дата и время окончания аномалии. Если аномалия ещё идёт, отображается статус Не завершена.
Длительность — сколько длилась аномалия.
(ID) Имя ресурса — идентификатор и имя ресурса, на котором зафиксирована аномалия.

Подтверждающие метрики, пиковый RPM — виды трафика, по которым система подтвердила аномалию, а также пиковые значения по каждому из видов.

В данном случае вид трафика — это категория запросов, которая отличается от других своими особенностями или действием, которое к ним применила система защиты.

Вы можете увидеть здесь следующие виды трафика:

Blocked — запросы, которые наша система заблокировала по политикам фильтрации.
Blocked (include Bad Requests) — запросы, которые система не пропустила на ваш ресурс. Сюда входят как блокировки по политикам фильтрации, так и некорректные запросы, которые система отклонила ещё до этой проверки.

Доступно только для схемы интеграции Proxy.
Cookie Challenge — запросы, в ответ на которые наша система выдала клиенту cookie-челлендж.
JS Challenge — запросы, в ответ на которые наша система выдала клиенту JS-челлендж.
CAPTCHA Challenge — запросы, в ответ на которые наша система выдала клиенту CAPTCHA.

По умолчанию в таблице отображаются аномалии по всем ресурсам за последние 7 дней, от новых к старым. Эти настройки можно изменить:

Период. Нажмите Последние 7 дней и выберите нужный диапазон или задайте свой период.
Ресурс. Нажмите Все ресурсы и выберите из списка нужный ресурс.
Автообновление. Кликните 🔄 и установите частоту автообновления данных.

Чтобы скачать сводный отчёт в PDF, нажмите иконку скачивания справа над таблицей. В отчёт попадут все аномалии, которые соответствуют выбранным фильтрам, даже если они не отображаются на текущей странице.

Если настроить уведомления, система будет отправлять вам сводные PDF-отчёты на указанный имейл каждую неделю или месяц.

Отчёт по конкретной аномалии

Если аномалия идёт в реальном времени (статус Не завершена), отчёт по ней будет сформирован после завершения.

Вы можете получать уведомления о каждой новой аномалии: система пришлёт одно уведомление, когда аномалия начнётся, и второе — когда закончится.

Чтобы посмотреть детали аномалии, найдите её в списке и нажмите иконку файла в конце строки.

Откроется окно с отчётом. Вверху указаны время начала и окончания аномалии, а также имя ресурса, на котором она зафиксирована. Ниже — сводные показатели и графики, которые помогут разобраться, что происходило с ресурсом во время аномалии.

Отчёт можно скачать в PDF-формате себе на устройство — для этого используйте иконку рядом с ID аномалии.

В таблице ниже — описание данных, которые вы увидите в отчёте.

Раздел отчёта Описание

Раздел отчёта	Описание
Длительность	Сколько длилась аномалия.
Всего запросов	Сколько всего запросов (любых: как легитимных, так и нелегитимных) пришло на ваш ресурс за время аномалии.
Пиковая скорость	Самое высокое число запросов в минуту за время аномалии.
Сдержано защитой	Доля запросов, которые система защиты не пропустила к вашему серверу-источнику.
Origin 5xx	Доля запросов, в ответ на которые ваш сервер-источник вернул ошибку 5xx.
Общий поток запросов	Число входящих запросов в минуту, которые приходили на ваш ресурс за время аномалии.
Действия с запросами	Число запросов, которые система защиты обработала по разным сценариям. `Доступные метрики` `Passed` — запросы, переданные на серверы-источники. `Blocked` — запросы, заблокированные по политикам фильтрации. `Redirected (301)` — запросы, в ответ на которые система защиты вернула HTTP-код 301, например, для перенаправления с HTTP на HTTPS. `Bad Request (400)` — запросы, в ответ на которые система защиты вернула HTTP-код 400 из-за некорректного формата запроса или нарушения протокола. `JS Challenge` — запросы, в ответ на которые система защиты выдала клиенту JS-челлендж. `Cookie Challenge` — запросы, в ответ на которые система защиты выдала клиенту cookie-челлендж. `CAPTCHA Challenge` — запросы, в ответ на которые система защиты выдала клиенту CAPTCHA.
Классификация запросов	Число запросов от разных типов клиентов. `Доступные метрики` `Human` — запросы от людей. `Likely Human` — запросы, которые система с высокой вероятностью определила как трафик от человека. `Verified Bot` — запросы от верифицированных ботов, например, поисковых систем. `Bot` — запросы от ботов. `Likely Bot` — запросы, которые система с высокой вероятностью определила как бот-трафик. `Blacklisted` — запросы от клиентов из чёрного списка. `Whitelisted` — запросы от клиентов из белого списка.
Статистика пропускной способности	Объём разных видов трафика. `Доступные метрики` `Outbound` — исходящий трафик от ваших серверов-источников к клиентам. `Passed` — трафик, который прошёл фильтрацию и был передан на ваши серверы-источники. `Blocked` — трафик, который был заблокирован в ходе фильтрации. `Inbound` — весь входящий трафик, который получила система защиты.
Статистика времени ответа от источника	Число запросов, сгруппированных по времени ответа сервера-источника — от момента, когда система защиты отправила запрос на сервер-источник, до момента, когда она получила ответ. `Доступные метрики` `> 10 sec.` `3-10 sec.` `1-3 sec.` `0.3-1 sec.` `< 0.3 sec.`
Статистика кодов ответа от источника	Число запросов по HTTP-кодам, которые вернул сервер-источник. `Доступные метрики` `2xx` — ответы с кодами 2xx (успешно). `3xx` — ответы с кодами 3xx (редирект). `4xx` — ответы с кодами 4xx (ошибка клиента). `5xx` — ответы с кодами 5xx (ошибка сервера).
Топ стран	Из каких стран приходило больше всего запросов, которые система защиты не пропустила к вашему ресурсу, и какая доля у каждой страны.
Топ IP-адресов	С каких IP-адресов, подсетей и сетей (ASN) приходило больше всего непропущенных запросов.
Топ запросов	Какие комбинации метода и пути чаще всего встречались среди непропущенных запросов.
Топ User-Agents	Какие User-Agent чаще всего встречались среди непропущенных запросов.

Длительность

Сколько длилась аномалия.

Всего запросов

Сколько всего запросов (любых: как легитимных, так и нелегитимных) пришло на ваш ресурс за время аномалии.

Пиковая скорость

Самое высокое число запросов в минуту за время аномалии.

Сдержано защитой

Доля запросов, которые система защиты не пропустила к вашему серверу-источнику.

Origin 5xx

Доля запросов, в ответ на которые ваш сервер-источник вернул ошибку 5xx.

Общий поток запросов

Число входящих запросов в минуту, которые приходили на ваш ресурс за время аномалии.

Действия с запросами

Число запросов, которые система защиты обработала по разным сценариям.

Доступные метрики

Passed — запросы, переданные на серверы-источники.
Blocked — запросы, заблокированные по политикам фильтрации.
Redirected (301) — запросы, в ответ на которые система защиты вернула HTTP-код 301, например, для перенаправления с HTTP на HTTPS.
Bad Request (400) — запросы, в ответ на которые система защиты вернула HTTP-код 400 из-за некорректного формата запроса или нарушения протокола.
JS Challenge — запросы, в ответ на которые система защиты выдала клиенту JS-челлендж.
Cookie Challenge — запросы, в ответ на которые система защиты выдала клиенту cookie-челлендж.
CAPTCHA Challenge — запросы, в ответ на которые система защиты выдала клиенту CAPTCHA.

Классификация запросов

Число запросов от разных типов клиентов.

Доступные метрики

Human — запросы от людей.
Likely Human — запросы, которые система с высокой вероятностью определила как трафик от человека.
Verified Bot — запросы от верифицированных ботов, например, поисковых систем.
Bot — запросы от ботов.
Likely Bot — запросы, которые система с высокой вероятностью определила как бот-трафик.
Blacklisted — запросы от клиентов из чёрного списка.
Whitelisted — запросы от клиентов из белого списка.

Статистика пропускной способности

Объём разных видов трафика.

Доступные метрики

Outbound — исходящий трафик от ваших серверов-источников к клиентам.
Passed — трафик, который прошёл фильтрацию и был передан на ваши серверы-источники.
Blocked — трафик, который был заблокирован в ходе фильтрации.
Inbound — весь входящий трафик, который получила система защиты.

Статистика времени ответа от источника

Число запросов, сгруппированных по времени ответа сервера-источника — от момента, когда система защиты отправила запрос на сервер-источник, до момента, когда она получила ответ.

Доступные метрики

> 10 sec.
3-10 sec.
1-3 sec.
0.3-1 sec.
< 0.3 sec.

Статистика кодов ответа от источника

Число запросов по HTTP-кодам, которые вернул сервер-источник.

Доступные метрики

2xx — ответы с кодами 2xx (успешно).
3xx — ответы с кодами 3xx (редирект).
4xx — ответы с кодами 4xx (ошибка клиента).
5xx — ответы с кодами 5xx (ошибка сервера).

Топ стран

Из каких стран приходило больше всего запросов, которые система защиты не пропустила к вашему ресурсу, и какая доля у каждой страны.

Топ IP-адресов

С каких IP-адресов, подсетей и сетей (ASN) приходило больше всего непропущенных запросов.

Топ запросов

Какие комбинации метода и пути чаще всего встречались среди непропущенных запросов.

Топ User-Agents

Какие User-Agent чаще всего встречались среди непропущенных запросов.

Уведомления об аномалиях

Настройте уведомления, чтобы узнавать об аномалиях автоматически. Доступно два варианта:

Уведомления в реальном времени — система отправит сообщение, когда зафиксирует начало аномалии, и ещё одно, когда аномалия завершится. Уведомления можно получать на почту, в Telegram или через Webhook.
PDF-отчёты по всем аномалиям за неделю или месяц. Такие сообщения отправляем только на почту.

Включить уведомления можно в настройках аккаунта на вкладке Подписка на уведомления. Подробная инструкция по настройке — в статье Подписки на уведомления.