Central de Ajuda do SmartFlow

Tudo o que você precisa para usar o SmartFlow no dia a dia: onde olhar, o que cada tela quer dizer e o que fazer quando chega um ataque.

O SmartFlow foi instalado e configurado pela equipe da Layer7 para o seu provedor. Equipamentos, blocos de IP, regras de proteção e alertas já estão prontos. Aqui o assunto é usar: entender o que a tela está mostrando e saber qual botão apertar.

Sempre que algo precisar ser ajustado — um equipamento novo, um bloco que deve passar a ser protegido, um alerta que deveria ou não deveria tocar — é só falar com o suporte Layer7. Ao longo desta página, isso aparece assim: fale com o suporte.

Para quem é: a equipe do NOC e do suporte do provedorPrecisa saber: o básico de redesNão precisa: configurar nada

Nem toda tela aparece para todo mundo. O menu mostra só os módulos contratados pelo seu provedor e as telas liberadas para o seu usuário. Se você procura uma tela desta ajuda e ela não está no seu menu, fale com o suporte.

Como ler as imagens. As telas são do sistema real, com nomes de clientes, IPs e números de AS trocados por exemplos. Os números laranja 1 nas imagens correspondem aos passos do texto. Toque ou clique numa imagem para ampliar.

Algumas ações só aparecem para quem tem permissão — elas estão marcadas com se tiver permissão. Quem decide as permissões da sua equipe é o responsável pelo seu provedor, junto com a Layer7.

Primeiros passos

Abra o endereço do SmartFlow que a Layer7 enviou (algo como smartflow.seuprovedor.com.br) e entre com o seu e-mail e senha. Funciona no computador e no navegador do celular.

Tela SmartFlow › Menu lateral — dados ilustrativosO menu agrupa as telas por assunto.

1Painel de Incidentes: a fila do que precisa de alguém agora. O número ao lado é quantos estão abertos (vermelho se algum é crítico).
2Proteção DDoS: os ataques (anomalias) e os desvios em andamento.
3Análise de Tráfego: links, clientes, CDNs, consumo por bloco e as demais telas de tráfego.
4Recolhe o menu para ganhar espaço. No celular, o menu vira o botão ☰ no topo.

Tema claro ou escuro: o ícone de lua, no rodapé do menu.
Esqueceu a senha ou quer trocá-la? fale com o suporte.
Sair: botão no rodapé do menu. Em computador compartilhado, saia sempre ao terminar.

Meu Perfil

Em Configurações → Meu Perfil ficam três coisas:

SmartFlow › Meu Perfil

dados ilustrativosO seu usuário, o vínculo com o Telegram e as telas liberadas para você.

Conta: nome, e-mail e papel (Operador ou Administrador), só para consulta.
Meu Telegram: Vincular Telegram abre o robô do SmartFlow no seu celular. Toque em Iniciar no Telegram e, em segundos, aparece “Seu Telegram foi vinculado!”. A partir daí você recebe os alertas no privado e pode usar o painel pelo celular (veja No celular).
Telas liberadas para você: a lista do que o seu usuário pode abrir. Precisa de mais alguma? fale com o suporte.

Dashboard a primeira tela

A rede inteira num olhar. Comece o dia por aqui.

Tela SmartFlow › Dashboard — dados ilustrativosA saúde da rede, o tráfego de agora e as últimas 24 horas.

1Faixa de saúde: rede, roteadores, sessões BGP, coleta de dados e proteção DDoS. Vermelho é onde olhar primeiro.
2Tráfego agora e a comparação com o período anterior (seta verde ou vermelha).
3Últimas 24 horas: uma queda brusca, ou um pico fora do desenho normal do dia, merece uma olhada.
4Top ASNs: as redes com quem você mais troca tráfego (CDNs, operadoras, clientes).

Painel de Incidentes

É a fila de trabalho do NOC. Tudo que precisa de uma pessoa vira um cartão: ataque confirmado, link caindo ou oscilando, sessão BGP fora, qualidade piorando, equipamento com problema.

1Contadores por gravidade — clique para filtrar.
2Ativos, Crônicos (um problema que se arrasta há mais de 24 h sem piorar — caso para chamado com a operadora, não para alarme a cada queda) e Resolvidos.
3Pegar pra mim: avisa a equipe que você está cuidando daquele cartão.
4Resolver: fecha o cartão. Se o problema voltar, ele reabre marcado como reincidente.
5TV: versão para o telão do NOC.

Os mesmos incidentes chegam no Telegram, onde dá para pegar, silenciar e resolver pelo celular. Veja No celular.

Mapa de Rede

POPs, equipamentos, operadoras e clientes sobre o mapa, com a cor de cada enlace mostrando o quanto ele está ocupado e os acontecimentos ao vivo (ataques, quedas, oscilações).

1Busca de POP ou equipamento, e filtros por estado e por tipo (backbone, trânsito, PTT, CDN, clientes…).
2Camadas: mostrar ou esconder POPs, equipamentos, operadoras, clientes e a rede de fibra.
3Seguir alertas: quando acontece algo, o mapa voa até o POP e volta à visão geral depois de 1 minuto.
4O botão de edição do mapa é da Layer7 — se faltar um POP ou um enlace, fale com o suporte.
5Modo TV: o mapa sem o menu, para o telão.

Cores do enlace: verde até 30% de ocupação, depois amarelo, laranja e vermelho acima de 85%; cinza é sem sinal. Clique em qualquer ponto para ver o tráfego dos últimos 15 minutos e os atalhos para o equipamento ou para o cliente.

Com a camada Fibra ligada, o mapa também mostra cada cliente de fibra, as caixas e as rotas dos cabos — e aponta possíveis rompimentos. Veja Fibra no mapa.

Telão do NOC (TV)

Três telas foram feitas para ficar abertas num telão ou numa TV do NOC, sem o menu:

Tela	Como abrir	O que mostra
Painel de Incidentes	Botão TV no Painel de Incidentes	Os cartões em tela cheia, com os contadores por gravidade e o selo AO VIVO. Botões Som ligado, TV / Compacto e Tela cheia.
Mapa de Rede	Botão Modo TV no mapa	O mapa inteiro com os números principais, os eventos em tempo real e a legenda de ocupação dos enlaces.
Conectividade	Versão TV da tela Conectividade	Os serviços externos (redes sociais, streaming, bancos…), com os que estão com problema primeiro.

O aplicativo SmartFlow TV

Se o seu NOC recebeu o aplicativo SmartFlow TV (num Fire TV Stick, por exemplo), ele já vem instalado e ligado ao seu SmartFlow pela Layer7. Ele abre sozinho com a TV e vai alternando entre o Painel de Incidentes, o Mapa de Rede e a Conectividade. Pelo controle remoto:

Tecla	Faz
← →	Volta ou avança uma tela.
OK	Pausa na tela atual (aparece “Pausado”). OK de novo retoma.
↓	No Painel de Incidentes, mostra a próxima página de cartões.

A tecla Voltar abre a configuração do aplicativo. Se abrir sem querer, aperte Voltar de novo. Para mudar as telas, o tempo de cada uma ou o som, fale com o suporte.

Como a proteção contra ataques funciona

O SmartFlow olha o tráfego de cada bloco de IP a cada poucos segundos e compara com o que é normal para aquele bloco, naquele horário — ele aprende esse normal sozinho, hora a hora. Quando o tráfego foge muito do normal, nasce uma anomalia. Ela passa por estas fases:

Só a fase Ativa (ataque confirmado) abre incidente e avisa no Telegram. As fases anteriores ficam registradas, sem acordar ninguém.

Nem toda anomalia vira alarme. Um download grande, uma atualização de jogo ou uma live com muita audiência também fogem do normal — e não são ataque. Por isso o sistema só chama de ataque quando várias evidências concordam e o volume é grande de verdade. Aí ele abre o incidente, avisa no Telegram e, conforme as regras combinadas com a Layer7, já age sozinho para proteger a rede.

O sistema tem três formas de agir contra um ataque:

O sistema escolhe entre as três conforme as regras de proteção combinadas com a Layer7. Você também pode usar qualquer uma delas na mão.

A lista de anomalias

Em Proteção DDoS → Monitoramento em Tempo Real. As abas do topo levam às outras visões.

Tela SmartFlow › Proteção DDoS › Anomalias ativas — dados ilustrativosTudo que está acontecendo agora.

1Abas: Ativas, Visão Geral, Distribuição, Arquivo, Relatório, Investigar Pico e Falsos Positivos.
2Filtro por fase. Em observação: fora do normal, ainda sem cara de ataque. Detectadas: parecem ataque e estão sendo confirmadas. Ativas: ataque confirmado num bloco protegido. Sem proteção: ataque confirmado num bloco que é só acompanhado (veja O ataque não foi desviado).
3Alvo: o IP ou bloco atacado. Etiquetas como “só monitorado” e “2× pulsos” (o ataque vai e volta) aparecem aqui.
4Esperado → Pico: o tráfego normal do alvo contra o pico do ataque, e quantas vezes acima do normal.
5Ir para №: abre um ataque pelo número que veio no Telegram.

Marque várias linhas para Marcar como falso positivo de uma vez se tiver permissão.

Tela SmartFlow › Anomalias › Visão Geral — dados ilustrativosQuantos alvos sob ataque, a banda e os pacotes somados, e a taxa de alarmes falsos.

Tela SmartFlow › Anomalias › Distribuição — dados ilustrativosDe onde vêm os ataques: país, tipo, alvo, rede de origem e protocolo.

Tela SmartFlow › Anomalias › Arquivo — dados ilustrativosTudo que já terminou.

1Filtre por alvo (aceita o número, como #1234, ou um AS, como AS64500), tipo, gravidade e período.
2Exportar CSV para abrir numa planilha.

A página do ataque

Clique no número ou no alvo de qualquer anomalia. Tudo sobre aquele ataque está nesta página.

Tela SmartFlow › Proteção DDoS › Anomalia — dados ilustrativosO topo da página: avisos, ações, números e abas.

1Impacto Externo: como a internet enxergou o alvo durante o ataque (atraso e perda medidos de fora da sua rede).
2Aplicar Ação: agir na mão — filtro ou desvio para a limpeza se tiver permissão. Só aparece em bloco protegido.
3Falso Positivo: não era ataque. Retira na hora qualquer proteção ligada por este alerta e manda o caso para revisão (veja Falso positivo).
4Normal do alvo: o tráfego que o sistema aprendeu como normal para este bloco.
5Os números principais: esperado → pico, picos de banda e de pacotes, a nota da detecção, origens, destinos, por onde o ataque entrou e o que foi feito.
6As abas — cada uma responde uma pergunta (abaixo).

Os avisos coloridos no topo

Aviso	O que quer dizer
Somente monitorado (azul)	Este bloco é acompanhado, mas a proteção dele não está ativada: o sistema vê e avisa, mas não age — nem sozinho, nem na mão. Para ativar, fale com o suporte.
Modo simulação (amarelo)	A proteção está em fase de testes: tudo é decidido e registrado, mas nada sai para a rede. Se você acha que já deveria estar valendo, fale com o suporte.
Vazando (vermelho)	O bloco foi desviado, mas parte do ataque ainda está chegando por outro caminho. Abra a aba Vazamento e fale com o suporte.

Tela SmartFlow › Anomalia de bloco só monitorado — dados ilustrativos1 O aviso azul e 2 a etiqueta “só monitorado”: aqui não existe o botão Aplicar Ação.

As abas, uma a uma

Visão Geral — o que fazer agora

Tela SmartFlow › Anomalia › Visão Geral — dados ilustrativosA recomendação do sistema.

1Recomendação: a ação que o sistema sugere (filtro, desvio ou nada) e o porquê — o tamanho do ataque, se o link de entrada está enchendo e se a central de limpeza tem folga.
2Aplicar recomendação faz exatamente o que foi sugerido se tiver permissão. Em bloco só monitorado, o botão vira “Sem mitigação neste alvo”.

Tela SmartFlow › Anomalia › Recebido × Entregue — dados ilustrativos1 **Sujo** é o que chegou na borda da sua rede; **Limpo** é o que foi entregue ao cliente depois da proteção. A distância entre as duas linhas é o que a proteção segurou.

Detecção — por que o sistema achou que é ataque

A conta completa da nota. Está explicada em Entendendo a nota.

Tráfego & Vetor e Origem & Fontes

Tela SmartFlow › Anomalia › Tráfego & Vetor — dados ilustrativosQue tipo de ataque, contra quais IPs do bloco, em quais portas e por qual link entrou.

Tela SmartFlow › Anomalia › Origem & Fontes — dados ilustrativosDe onde veio: países, redes de origem e se as fontes estão concentradas ou espalhadas.

Flows

Mitigação — o que foi feito

Tela SmartFlow › Anomalia › Mitigação — dados ilustrativosTudo que o sistema e a equipe fizeram contra este ataque.

1Decisão automática: qual regra de proteção foi usada, o motivo e a folga do link.
2Cada ação com a situação (aplicada, simulada, falhou) e o botão Rollback, que desfaz aquela ação se tiver permissão.

As demais abas

Aba	Responde
Vazamento	Depois do desvio, ainda chega ataque? Mostra o que está passando por fora da limpeza.
Equipamentos	Switch, CGNAT ou BNG sofreram durante o ataque (processador, sessões, quedas de clientes)?
Incidente	Quem está cuidando, as anotações da equipe e o atalho para o Painel.
Cronologia	A sequência com horário: detectado, confirmado, mitigado, normalizado.
Histórico do alvo	Este bloco já foi atacado antes? Quantas vezes e de que tipo.
Dados brutos	Os dados completos do ataque, para o suporte Layer7 quando você abrir um chamado.

Tela SmartFlow › Anomalia › Incidente — dados ilustrativosEnquanto o ataque não é confirmado, a aba explica que nenhum chamado foi aberto. Depois, aparecem quem assumiu, a linha do tempo e a caixa de anotações.

Tela SmartFlow › Anomalia › Cronologia — dados ilustrativosCada passo do ataque com horário.

Entendendo a nota

Para decidir se é ataque, o sistema junta evidências e dá uma nota de 0 a 100. Pense num júri: uma testemunha sozinha não condena ninguém, por mais certa que esteja. São precisas evidências de tipos diferentes apontando para o mesmo lado — e o crime precisa ter tamanho.

Ilustração: as cinco famílias de evidência: cano transbordando, setas convergindo num servidor, aperto de mão sem resposta, checagem de crachás e rua de mão única — ilustraçãoOs cinco tipos de evidência que o sistema procura.

Evidência	Em palavras simples
Volume	Chegou muito mais banda, pacotes ou conexões do que o normal deste bloco.
Dispersão	Muito mais origens diferentes do que o normal — típico de uma rede de computadores invadidos (botnet).
Protocolo	O jeito do tráfego tem cara de ataque: pedidos de conexão sem resposta, tudo numa porta só, ou espalhado por milhares de portas.
Reputação	As origens estão em listas de atacantes conhecidos, já atacaram antes ou vêm de países incomuns para este bloco.
Comportamento	Tráfego que só chega e nunca volta, ou uma enxurrada de pacotes minúsculos.

As faixas

Ilustração: três reservatórios com o nível subindo, de calmo a transbordando

Nota	Nível	O que o sistema faz
até 30	Normal	Nada.
30 a 50	Observável	Registra para consulta. Sem alarme, sem ação.
50 a 70	Suspeito	Registra e fica de olho. Sem incidente, sem Telegram, sem ação automática.
acima de 70 + condições	Ataque	Depois de confirmado: incidente, Telegram e a proteção automática (se estiver ativada para o bloco).

Nota acima de 70 sozinha não basta. Para ser ataque também é preciso: evidências de pelo menos dois tipos, um desvio real do normal e tamanho — o volume precisa ser grande de verdade, não só fora do normal. E isso precisa se repetir por alguns ciclos seguidos antes de abrir o incidente. É o que evita alarme por um pico de segundos.

Lendo na tela

Tela SmartFlow › Anomalia › Detecção — dados ilustrativosA aba Detecção de um ataque confirmado.

1Veredito: o nível, a nota e, em português claro, por que chegou nele e o que acontece em seguida.
2Régua: onde a nota caiu entre Normal, Observável, Suspeito e Ataque.
3A conta: cada tipo de evidência, a força, o peso e os pontos — somados, dão a nota.
4Para ser ataque: cada condição com ✓ ou ✗. Quando faltou algo, os números dizem quanto (por exemplo, “145 Mbps de 500 Mbps exigidos”).
5Sinais: todas as evidências encontradas.

Tela SmartFlow › Anomalia › Detecção (suspeito) — dados ilustrativosUm caso que ficou em **suspeito**: 2 o quadro mostra exatamente o que faltou para ser ataque.

Coerência dos sinais (ex.: 99%) não quer dizer “99% de chance de ser ataque” — mede o quanto as evidências concordam entre si. A nota do ML é uma segunda opinião e não entra na conta.

O ataque não foi desviado. E agora?

É a dúvida mais comum. Siga as perguntas abaixo, na ordem — a primeira resposta “sim” explica o que aconteceu e o que fazer.

Quando um ataque “só aparece” e nada é feito, quase sempre é um destes cinco casos. Os três primeiros são normais e não indicam defeito.

Se o ataque está atrapalhando agora e o sistema não agiu, você pode agir na mão: veja Desviar agora.

Desviar agora (desvio manual) se tiver permissão

Ilustração: tráfego de ataque desviado do roteador para uma central de limpeza e entregue limpo ao datacenter do cliente

Desviar é mandar todo o tráfego de um bloco passar por uma central de limpeza (scrubbing) antes de chegar à sua rede: o ataque fica lá, e o tráfego bom volta para você por um túnel. Use quando o sistema não agiu e você decidiu agir.

Em Proteção DDoS → Desvios em Andamento:

Tela SmartFlow › Proteção DDoS › Desvios em andamento — dados ilustrativosTudo que está desviado agora — automático, manual ou agendado.

1A faixa diz se as ações valem de verdade (PRODUÇÃO, verde) ou se a proteção está em testes (SIMULAÇÃO, amarelo).
2Desviar prefixo abre o assistente.
3Abas Em andamento, Agendamentos e Histórico dos últimos 7 dias.

Passo 1 — qual bloco

Tela SmartFlow › Desviar prefixo › 1. Qual bloco — dados ilustrativosEscolha o bloco e a central de limpeza.

1Busque por bloco, apelido, cliente ou AS — ou digite o bloco.
2Escolha o bloco na lista. Blocos só monitorados aparecem apagados e não podem ser desviados.
3Scrubbing center (central de limpeza): deixe “Automático”, a não ser que o suporte tenha orientado outra.
4Continuar.

Passo 2 — quando

Tela SmartFlow › Desviar prefixo › 2. Quando — dados ilustrativos“Agora”, com a duração.

1Agora, Uma vez (começa numa data e hora) ou Toda semana.
2Por quanto tempo: de 30 min a 8 h, ou “outro” (no máximo 7 dias). Ao terminar o prazo, o desvio sai sozinho.
3Motivo (opcional, mas ajuda quem vier depois).
4Revisar.

Passo 3 — revisar e confirmar

Tela SmartFlow › Desviar prefixo › 3. Revisar — dados ilustrativosO que vai sair para a internet, antes de sair.

1Será anunciado: os blocos exatos (um /22 vira quatro /24, por exemplo) e a central de limpeza.
2Modo: mostra se vai valer de verdade (Produção) ou se a proteção está em testes (Simulação).
3Desviar agora.

Se aparecer Não é possível desviar, o motivo vem escrito: bloco não protegido, já existe um desvio manual para ele (use Estender), entre outros. Em Atenção vêm avisos que não impedem, como “o sistema já desviou este bloco”.

Desvio programado se tiver permissão

Para ataques que voltam sempre no mesmo horário (“todo dia às 20 h”), agende o desvio em vez de ficar de plantão.

Tela SmartFlow › Desviar prefixo › Toda semana — dados ilustrativosNo passo 2, escolha “Toda semana”.

1Os dias da semana (clique para ligar ou desligar cada um).
2Das: hora de início.
3Até: hora de fim. O assistente mostra as próximas janelas.
4Revisar e depois Salvar agendamento.

Um agendamento semanal repete as mesmas janelas toda semana.

Para um desvio único numa data futura, escolha Uma vez e informe quando começa.

Tela SmartFlow › Desvios › Agendamentos — dados ilustrativosOs agendamentos ficam nesta aba. 1 **Agendar desvio** abre o mesmo assistente.

Cada agendamento tem uma chave para pausar e os botões Editar e Excluir.

Excluir ou pausar um agendamento não derruba o desvio que já está no ar. Para tirá-lo agora, use Retirar.

Estender e retirar um desvio se tiver permissão

Na aba Em andamento, cada desvio ativo tem dois botões:

Estender ▾ (+30 min, +1 h, +2 h, +4 h) — o ataque continua e o prazo está acabando.
Retirar — tira o desvio agora. O sistema pede confirmação.

Para um desvio automático, use sempre o Retirar de Desvios em andamento: a lixeira da tela BGP tira a rota, mas deixa a ação do sistema registrada como ativa.

Manual ou automático?

A coluna Origem diz se o desvio é Automático (o sistema fez), Manual ou Agendado. O botão Retirar funciona para todos. Num desvio automático, se o ataque continuar, o sistema pode desviar de novo — e isso é o comportamento esperado. Se tem certeza de que não era ataque, use Falso positivo.

Também dá para desfazer pela página do ataque: aba Mitigação → Rollback na ação.

Tela SmartFlow › Desvios › Histórico — dados ilustrativosOs últimos 7 dias: o que foi desviado, por quem, por quanto tempo e o atalho para o ataque.

Filtro e descarte na mão (FlowSpec e blackhole) se tiver permissão

Para casos específicos, a tela BGP & Mitigação permite criar um filtro ou um descarte diretamente. Se não tiver certeza de qual usar, prefira o desvio ou fale com o suporte.

Tela SmartFlow › BGP & Mitigação — dados ilustrativos1 As abas. A Visão Geral mostra tudo que está anunciado agora, com a lixeira para retirar.

Filtro (FlowSpec): descartar só o ataque

Tela SmartFlow › BGP › FlowSpec › Nova Regra — dados ilustrativosExemplo: descartar o tráfego UDP na porta 53 que vai para um IP.

1Destino: o IP ou bloco atacado.
2Protocolo (o tipo de tráfego do ataque, visto na aba Tráfego & Vetor).
3Portas de destino.
4Descartar (ou limitar a velocidade).
5Criar Regra.

Cuidado: o filtro criado aqui vale de verdade mesmo com a proteção em testes (simulação). Confira o destino antes de criar.

Descarte (blackhole)

Tela SmartFlow › BGP › Rotas & Blackhole › Adicionar Rota — dados ilustrativosDescarte de um único IP.

1O IP (o descarte vale para um endereço só: /32 no IPv4, /128 no IPv6).
2Ligue RTBH.
3Communities: deixe como veio, a não ser que o suporte tenha orientado outra coisa.
4Anunciar.

O descarte joga fora todo o tráfego para o IP: protege o resto da rede, mas aquele IP fica fora do ar. Use como último recurso.

Confirmar no Looking Glass

Depois de desviar, a pergunta é: a internet já está mandando o tráfego pela central de limpeza? O Looking Glass responde consultando coletores públicos de rotas espalhados pelo mundo e os seus próprios roteadores.

Tela SmartFlow › Looking Glass › Consulta — dados ilustrativosConsulta de um bloco.

1Abas: Consulta, Desvios ativos, Histórico, Mapa, SLA & Segurança e Ping / Traceroute.
2Digite o bloco e clique em Consultar. O resultado compara o que a internet vê com o que os seus roteadores têm, e diz se a rota é considerada válida.

As situações de um desvio

Verde é o esperado. Não visível num desvio de verdade e rota presa depois de retirar pedem ajuda: fale com o suporte.

Tela SmartFlow › Looking Glass › Desvios ativos — dados ilustrativosCada desvio no ar, com a situação e quantos coletores já veem o caminho pela limpeza.

Tela SmartFlow › Looking Glass › SLA & Segurança — dados ilustrativosQuanto tempo o desvio leva para se espalhar e para sumir, e alertas de alguém anunciando o seu bloco sem autorização (sequestro de rota).

Tela SmartFlow › Looking Glass › Ping / Traceroute — dados ilustrativosPing, traceroute e MTR a partir do servidor do SmartFlow ou de um dos seus roteadores.

Falso positivo se tiver permissão

Se o sistema chamou de ataque algo que não era (um download grande, um evento ao vivo, um backup), use o botão Falso Positivo na página do ataque e escreva o motivo. Na hora:

o alerta é fechado;
qualquer filtro ou desvio ligado por ele é retirado;
o caso vai para a fila de revisão.

O sistema só aprende a não alarmar de novo depois que o caso é revisado e confirmado — por alguém da sua equipe com permissão ou pelo suporte Layer7.

Tela SmartFlow › Anomalias › Falsos Positivos — dados ilustrativosA fila de revisão.

1Situação: Pendentes, FP confirmados, Era ataque e Inconclusivos.
2Busca por alvo.

Ao abrir um caso, o painel mostra as evidências a favor e contra, a opinião da inteligência artificial e se o alerta tocaria hoje. Decida com É falso positivo, Era ataque ou Inconclusivo. Na dúvida, deixe como pendente e fale com o suporte. Na verdade era ataque desfaz uma confirmação feita por engano.

Investigar um pico

Um link teve um pico e o sistema não chamou de ataque? A aba Investigar Pico (em Proteção DDoS → Anomalias) explica qualquer pico: quem recebeu o excesso, de onde veio, se houve resposta e qual assinante estava naquele IP.

Tela SmartFlow › Anomalias › Investigar Pico — dados ilustrativosEscolha a porta e o período.

1A porta ou o link.
2O período.
3A sensibilidade (Baixa pega só o que salta muito; Alta, também rajadas menores). Depois clique num pico — ou arraste no gráfico — e em Analisar.

No fim da página, Quem é este IP? descobre qual assinante PPPoE estava com um IP num determinado horário.

Tráfego: os filtros e o gráfico

Quase todas as telas de tráfego têm a mesma barra de filtros no topo. Aprenda uma vez, vale para todas:

Tela SmartFlow › Análise de Tráfego › Dashboard Geral — dados ilustrativosA barra de filtros comum.

1Grupo de interfaces e roteador: limita a um grupo de portas ou a um roteador.
2Interface: uma porta específica. A escolha vale para as outras telas também.
3Prefixo: um bloco (aceita digitar um IP qualquer e Enter). Ao lado, *Origem / Destino / Ambos* diz em que ponta da conversa o filtro vale.
4Filtros: AS, bloco de origem ou destino e protocolo.
5“dados até HH:MM”: o último minuto completo (veja abaixo).

Também em comum: IPv4 / IPv6, Down / Up (sentido do tráfego), Mb/s / Pkt/s, a janela de tempo (de 5 minutos a 30 dias) e a atualização automática. Comparar com ontem desenha o mesmo horário de ontem em linha tracejada (para janelas de até 24 h).

Por que o gráfico termina alguns minutos antes de agora?

É de propósito, e não é atraso do sistema: os roteadores entregam os dados de cada minuto aos poucos.

Os roteadores mandam os dados de cada minuto com alguns minutos de atraso. Se o gráfico desenhasse o minuto que ainda está chegando, a linha despencaria no final e pareceria que o tráfego acabou de cair. Por isso todo gráfico mostra “dados até HH:MM” e para no último minuto completo.

As telas de tráfego, uma a uma

Comece pela pergunta, não pela tela.

Links / Upstream / PTT

Cada tipo de conexão — trânsito, CDN, PTT, central de limpeza — medido nas portas dos roteadores, com ocupação, disponibilidade (SLA) e alertas. As abas por roteador filtram um equipamento só.

Portas dos Exportadores

Todas as portas dos roteadores, com estado, tráfego, ocupação e SLA. Clique numa porta para ver os detalhes: tráfego, sinal do módulo óptico (SFP), erros e latência — e o atalho para Investigar Pico.

Downstreams (clientes)

Cada cliente de trânsito ou de link dedicado. Atenção ao sentido: entrega é o que você manda ao cliente; retorno é o que volta dele. A caixa vermelha lista quem está com problema agora.

Tela SmartFlow › Tráfego › Downstreams — dados ilustrativos1 Comparar com ontem e 2 Coletar agora (lê as portas na hora, sem esperar o próximo ciclo).

CDNs

Quanto do tráfego vem de Google, Meta, Netflix, Akamai, Cloudflare… empilhado por empresa, e quanto é entregue pelos caches instalados na sua rede. Bom para dimensionar caches e negociar conexões diretas.

Nacional vs Internacional

Separa o tráfego pela origem e mostra por onde ele entra. Tráfego nacional entrando pelo trânsito pago é banda que poderia vir pelo PTT — a lista Candidatos a peering diz com quem vale conversar.

Top Talkers

Prefixos por Interface

Escolha uma porta e veja quais blocos passaram por ela — o jeito rápido de descobrir quem causou o pico num link.

Consumo por Prefixo/AS

Digite um AS ou bloco e veja por quais links da borda o tráfego dele passa, os picos e quem consome dentro dele. Clique num pico e em Analisar para ver os detalhes.

Geo-Traffic e as demais

Tela SmartFlow › Tráfego › Geo-Traffic — dados ilustrativosVolume por país, estado ou cidade. Clique numa região para filtrar.

Tela SmartFlow › Tráfego › Por protocolo — dados ilustrativosTCP, UDP, GRE, ESP, ICMP ao longo do tempo.

Tela	Para que serve
Por bloco de IP (/24)	O perfil completo de um bloco: conectividade, CDNs, nacional e internacional. Escolha o bloco para começar.
Por geolocalização	Ranking de cidades, estados, países e continentes, por origem e por destino.

Switches, CGNAT e BNG

Em Análise de Tráfego → Switches e → CGNAT e BNG/BRAS: a saúde dos equipamentos de acesso. Cada equipamento é um cartão, e os que estão com problema aparecem primeiro.

Tela SmartFlow › Tráfego › CGNAT e BNG/BRAS — dados ilustrativosOs números do topo somam todos os equipamentos; cada cartão é um equipamento.

Números do topo: clientes online (somando os concentradores), desconexões em massa nas últimas 24 h, CGNAT com falha de porta e equipamentos fora do ar. Nos switches: online, fora do ar, portas caídas e módulos ópticos em alerta.
Situação do cartão: Online (verde), Degradado (amarelo — o motivo vem escrito logo abaixo, como “CPU 92%” ou “1 uplink fora”), Fora do ar (vermelho) e Aguardando (cinza, ainda sem a primeira leitura).
Destaques: no BNG, clientes online e quedas no último minuto; no CGNAT, uso das portas, o endereço público mais cheio, sessões e falhas de alocação. As barras de processador e memória ficam amarelas a partir de 75% e vermelhas a partir de 90%.
Selos das últimas 24 h: reinício, porta oscilando, desconexão em massa, equipamento sem responder.

A aba Impacto sob ataque lista os ataques que coincidiram com algum problema nesses equipamentos e diz se foi impacto direto, se só coincidiu ou se era o habitual do horário.

O detalhe de um equipamento

Clique no cartão. No topo, os números de agora (atraso do ping, perda, processador, memória, temperatura, tempo ligado) e a janela de tempo (1 h a 30 dias). As abas:

Tela SmartFlow › Equipamento › Portas — dados ilustrativosO mapa de portas: verde funcionando, vermelho caída, contorno amarelo é sinal óptico em alerta.

Aba	Para que serve
Visão geral	Gráficos de clientes online (BNG) ou sessões (CGNAT), atraso e perda, processador e memória, temperatura e tráfego dos uplinks.
Portas	Cada porta com estado, tráfego, erros, oscilações e sinal óptico (Rx/Tx em dBm). Filtros prontos: só caídas, só uplinks, com óptica, com erros. Clique numa porta para ver o gráfico dela.
Pools e NAT	No CGNAT: ocupação dos endereços públicos, quem usa mais portas e a busca de um cliente pelo IP privado (privado → público).
Eventos	Reinícios, portas que caíram ou oscilaram, desconexões em massa — com horário.
Impacto sob ataque	Os ataques que afetaram este equipamento.

Assinantes PPPoE

Em Análise de Tráfego → Assinantes PPPoE: cada assinante conectado, com o consumo medido pelo próprio concentrador (BNG) a cada poucos minutos.

Números do topo: assinantes com tráfego, download e upload de agora, quantos têm IPv6 e quantos estão no teto do plano (usando 90% ou mais do download contratado).
Gráfico: download e upload somados, e a linha amarela de sessões PPPoE. Marque Sessões ontem para comparar com o mesmo horário de ontem — uma queda brusca de sessões é sinal de queda em massa.
Maiores agora: os 5 que mais baixam e os 5 que mais sobem neste momento.
Sessões conectadas: busque por login, IPv4, prefixo IPv6 ou MAC e aperte Enter. A coluna % do plano fica amarela a partir de 70% e vermelha a partir de 90%.

Clique num assinante para ver o detalhe: endereços, há quanto tempo está online, plano, gráfico de download e upload (a linha tracejada é o plano), os ataques contra o IP dele nos últimos 90 dias e o histórico de logins e quedas.

Analisador de consumo

A aba Analisador de consumo procura logins residenciais que se comportam como uma rede — revenda do sinal, empresa num plano residencial, ou outro provedor usando o login como link de reserva.

Classe	O que quer dizer
Contínuo (vermelho)	Fica muito tempo perto do teto do plano, dia e noite — uso típico de uma rede inteira, não de uma casa.
Esporádico no teto (amarelo)	Passa uma hora ou mais seguida no teto, de vez em quando — o jeito de quem usa o login como reserva quando o link principal cai.
Possível mesmo dono	Logins que entram no teto juntos, mais de uma vez — provavelmente da mesma pessoa ou empresa.

A pontuação vai de 0 a 100 (vermelha a partir de 70) e a coluna Motivos explica em português o que pesou, como “madrugada com 1,5× o tráfego do horário nobre (residencial fica em 10–30%)”.

Depois de olhar um caso, marque Revisado (continua na lista, com o selo) ou Liberar (sai da lista — por exemplo, um plano empresarial legítimo). Os dois aceitam uma nota e podem ser desfeitos.

Nada disso é prova sozinho. O analisador aponta onde olhar. Antes de qualquer contato com o assinante, confira o detalhe dele e o contrato.

O quadro Clientes CGNAT fora do perfil faz o mesmo para quem está atrás do CGNAT: Constante (empresa, servidor ou outro provedor num plano residencial), Picos (máquina infectada, ataque saindo da sua rede ou troca de arquivos) e Portas (muitas conexões curtas).

OLTs e ONUs (rede de fibra)

Em OLTs → Visão geral: a sua rede GPON inteira — quais OLTs estão respondendo, quantas ONUs estão online, como está o sinal e onde há queda em massa.

Tela SmartFlow › OLTs — dados ilustrativosCada OLT é um cartão; embaixo, a distribuição de sinal, as PONs mais instáveis e os problemas abertos.

Números do topo: OLTs respondendo, ONUs online, alarmes ativos e ONUs com sinal crítico ou fraco.
Cartão da OLT: situação (Online, Degradada, Gerência sem resposta — a OLT responde ao ping, mas não às consultas — ou Fora do ar), ONUs online, PONs ativas, alarmes, processador, memória e temperatura. O selo vermelho sem energia indica falha de fonte.
Distribuição de sinal: quantas ONUs em cada faixa. Clique numa faixa para ver quem são.
PONs com mais quedas (24h): instabilidade repetida numa PON costuma ser splitter, emenda ou cabo.
Problemas ativos: o que está aberto agora em todas as OLTs, como “Queda em massa na PON” ou “Caixa de atendimento fora”.

As faixas de sinal

O sinal que chega à ONU (Rx) é medido em dBm. Quanto mais perto de zero, melhor:

Faixa	Sinal (Rx)	O que fazer
Excelente	−20 dBm ou melhor	Nada.
Bom	de −24 a −20	Nada.
Regular	de −26 a −24	Acompanhar.
Fraco	de −28 a −26	Programar uma visita: conector, drop ou emenda.
Crítico	pior que −28	O cliente já pode estar caindo. Prioridade.

O detalhe de uma OLT

Clique no cartão da OLT. No topo: PONs ativas, ONUs online e offline, e a faixa de saúde (processador, memória, temperatura, ping, fontes e ventoinhas).

Tela SmartFlow › OLTs › Detalhe — dados ilustrativosÀ esquerda as portas PON; à direita as ONUs da PON escolhida.

Portas PON: cada PON com ONUs online e offline, ocupação, sinal médio, quedas em 24 h e os selos PON caiu, Queda em massa (vermelhos) ou Sinal degradando (amarelo). Clique numa PON para ver as ONUs dela.
ONUs: busque por serial ou cliente, filtre online/offline e use Pior sinal para ver primeiro quem está pior. Quando uma ONU está offline, a causa aparece em cor: Falta de energia (dying gasp) em amarelo — a energia da casa do cliente caiu — ou Fibra (LOS/LOF) em vermelho — o sinal da fibra sumiu.
Alertas de Sinal: todas as ONUs da OLT com sinal regular, fraco ou crítico, e o quadro Dicas para resolução.
ONUs online por PON: um mapa de calor do período. Uma faixa vertical vermelha é uma queda em massa.
Abas Alarmes (cada alarme tem “O que significa e o que fazer”) e Eventos.
Analisar LOG: lê o registro da OLT e explica em português o que aconteceu.

Uma ONU (um cliente)

Clique numa ONU para abrir a ficha dela:

Tela SmartFlow › OLTs › ONU — dados ilustrativosO sinal da ONU comparado com o resto da PON.

Sinal recebido na ONU e na OLT, distância da fibra, modelo, tempo ligado e erros de sinal nas últimas 24 h.
Comparado com a PON: o sinal deste cliente contra o dos vizinhos na mesma PON. O sistema já interpreta: “Sinal bem abaixo dos vizinhos: suspeite do drop/conector deste cliente” ou “O sinal da PON inteira está degradando: suspeite de splitter ou cabo primário”.
No ERP: a caixa e a porta do cliente e o sinal de referência da instalação, se o seu sistema de gestão estiver integrado.
Ler agora: pede uma leitura nova do sinal, sem esperar o próximo ciclo.
Gráfico do sinal no tempo (faixas vermelhas = períodos offline), os dados do assinante PPPoE e a lista de quedas e retornos.

Fibra no mapa

No Mapa de Rede, ligue a camada Fibra (ou o ícone de cabo). Cada cliente de fibra vira uma bolinha colorida, e, chegando perto (nível de bairro), aparecem os cabos e as caixas.

Tela SmartFlow › Mapa de Rede › Fibra — dados ilustrativosClientes de fibra, caixas e cabos sobre o mapa, com o painel de falhas.

Cor	Quer dizer
● Online	Sinal excelente ou bom.
● Atenção	Sinal regular ou fraco, ou caindo e voltando.
● Offline	Caiu por fibra ou está com sinal crítico.
● Sem energia	A ONU avisou que perdeu energia — o problema é na casa do cliente.

De longe, os clientes se agrupam em bolhas com a cor da maioria; borda vermelha quer dizer que parte do grupo está offline.
Bolinha com contorno é posição aproximada, calculada pela distância da fibra.
Clique num cliente para ver sinal, distância, caixa, endereço e desde quando está online ou caiu. Ver só esta PON esconde o resto.
Clique numa caixa (CTO) para ver quantos clientes há nela e em que situação.
Em Visualização dá para ligar e desligar separadamente clientes, rotas e caixas, os drops e o mapa de calor de falhas.

Rompimento ou falta de energia?

Quando muitos clientes de uma PON caem juntos, o SmartFlow analisa caixa por caixa para sugerir a causa. O resultado aparece no painel Clientes fibra do mapa (botões vermelhos e amarelos) e desenhado no próprio mapa:

Tela SmartFlow › Mapa de Rede › Possível rompimento — dados ilustrativosO trecho vermelho é o cabo do provável ponto de corte em diante.

Indicação	Como o sistema chegou nela	No mapa
Possível rompimento	Tudo de uma caixa em diante caiu junto, e as ONUs avisaram perda de sinal da fibra (LOS).	Cabo vermelho do corte em diante e um anel no provável ponto do rompimento.
Possível falha elétrica	Muitas ONUs avisaram falta de energia, ou caixas do meio caíram enquanto as de depois continuam online.	Área amarela sobre a região.
Possível problema na caixa	Só os clientes de uma caixa caíram.	Anel vermelho na caixa.
Possível falha elétrica ou rompimento	Os sinais não bastam para decidir.	—

Clique na falha para ver os clientes afetados, desde quando, as caixas sem nenhum cliente online, as que adiante ainda estão online (em verde) e o trecho provável (por exemplo, “de 2,1 a 2,8 km da OLT”).

É sempre uma indicação automática, por isso começa com “Possível”. Ela usa o desenho da rede e os alarmes das ONUs — confirme em campo antes de mandar a equipe de emenda.

Mapa de calor de falhas

Em Visualização → Mapa de calor de falhas: onde a cidade mais tem possível rompimento (vermelho) e possível falta de energia (amarelo), pelo histórico de 7, 30 ou 90 dias. Quanto mais a falha se repete no mesmo lugar, mais quente. A lista Pontos de atenção mostra os lugares que mais se repetem — bons candidatos para uma revisão preventiva do cabo ou para conversar com a concessionária de energia.

Análise de Qualidade

Em Qualidade de Serviço → Análise de Qualidade. A pergunta é: estamos entregando um bom serviço? Cada cliente ganha uma nota por dia, de 0 a 100, a partir dos problemas de rede que o atingiram — quedas, lentidão, link cheio, ataques, sinal ruim.

Nota	Situação
85 ou mais	Satisfeito
de 70 a 84	Atenção
de 50 a 69	Em risco
abaixo de 50	Crítico

Cartões dos grupos (Trânsito direto, Trânsito indireto, Link dedicado, PPPoE): nota média, a seta comparando com o período anterior e quantos estão em risco. Clique num cartão para filtrar a página.
O que mais derrubou a nota: as causas que mais tiraram pontos (operadora de trânsito, equipamento, fibra, ataques…).
Eventos da rede inteira: problemas grandes que atingiram muita gente ao mesmo tempo.
Clientes: ordenados por risco de insatisfação (Baixo, Médio, Alto). Também dá para ordenar por menor nota, quem está piorando mais rápido, mais ataques ou mais tempo fora.

Se o seu sistema de atendimento estiver integrado, aparecem também as notas do atendimento e da resolução, a nota Consolidada e selos como Ameaçou cancelar e Reclamação sem causa na rede (o cliente reclamou, mas nenhum problema foi medido).

O detalhe de um cliente

Clique num cliente. Aparecem a nota de cada dia com os pontos perdidos por causa, um resumo em texto do que aconteceu e a lista de eventos atribuídos a ele. Abrir Raio-X leva ao Relatório de Cliente.

Tela SmartFlow › Análise de Qualidade › Cliente — dados ilustrativosA nota por dia, os pontos perdidos e os eventos que atingiram o cliente.

Queda de um cliente só × queda de muitos

Quando só um assinante PPPoE ou uma ONU cai, a causa é “Casa do cliente” (roteador ou energia dele). O evento aparece na linha do tempo com o selo não pontua: não tira nota da rede, mas fica registrado e confirma a reclamação do cliente.
Quando muitos caem juntos, a nota só cai se houver uma causa na rede de acesso (fibra, PON, BNG, CGNAT).
Se muitas ONUs avisam falta de energia ao mesmo tempo, a causa vira Falta de energia (provável) — também não pontua.
Um ataque com impacto é quando o cliente sentiu algo durante o ataque; absorvido é quando houve ataque, mas nada foi sentido.

Visão Externa

Como a internet enxerga a sua rede, medido por sondas espalhadas pelo Brasil e pelo mundo. O veredito do topo resume: “Tudo normal”, “Rede interna OK — degradação na visão externa” (típico de ataque ou de problema numa operadora de trânsito), “Problema interno” ou os dois. A aba Impacto de Ataques mostra o que cada ataque causou, visto de fora.

Conectividade

Quando um cliente liga dizendo “o WhatsApp não abre”, esta é a tela. O SmartFlow testa, a cada minuto e de dentro da sua rede, os serviços que os seus clientes mais usam: redes sociais, streaming, jogos, bancos, nuvem.

Situação: Normal, Degradado (lento ou falhando às vezes) ou Fora (as últimas três tentativas falharam). O gráfico pequeno é o tempo de resposta nas últimas 24 h; barras vermelhas são falhas.
Oficial é o que o próprio serviço diz na página de status dele; Global é o que sites de monitoramento dizem para o mundo todo.
só daqui? aparece quando o serviço diz que está normal, mas o teste daqui falha — o problema provavelmente está no caminho até ele. Se o Oficial também diz que está fora, o problema é do serviço, não seu.
Clique num serviço para ver cada etapa (DNS, ping, primeiro byte, HTTP) e use Testar agora.

A aba Saída de clientes mostra testes de ping feitos a partir dos seus roteadores para destinos combinados — útil para saber se a saída de um cliente específico está funcionando.

Servidores e máquinas virtuais

Em Servidores → Hipervisores e VMs: os servidores de virtualização do seu provedor e as máquinas virtuais em cada um.

Tela SmartFlow › Servidores — dados ilustrativosUm cartão por servidor, com VMs ligadas, processador, memória e armazenamento.

Números do topo: servidores respondendo, VMs ligadas, armazenamento em alerta (acima de 85%) e eventos críticos nas últimas 24 h.
Barras: verdes, amarelas a partir de 75% e vermelhas a partir de 90%.

Clique num servidor para ver os gráficos (processador, memória, carga, rede) e as abas Máquinas virtuais (ordene por maior processador, memória ou tráfego para achar quem está pesando), Storage, Nós e Eventos. Clique numa VM para ver os gráficos dela.

Os alertas de servidores e VMs no Telegram são ligados pela Layer7. Quer receber (ou parar de receber) o aviso de uma VM? fale com o suporte.

Segurança e ameaças

Tela SmartFlow › Threat Intelligence — dados ilustrativosAs origens de ataque: quantas são, quais estão em listas de atacantes conhecidos, quais voltam a atacar e quais ataques estão ligados entre si.

Tela SmartFlow › Segurança › Tráfego incomum — dados ilustrativosSYN floods, IPs suspeitos e tráfego incomum dos últimos dias, em tabela.

Relatórios

Geração sob demanda

1O tipo: análise detalhada de um ataque, resumo de segurança, SLA e qualidade vista de fora, ou tráfego para cobrança pelo pico típico (percentil 95).
2O período.
3Gerar Relatório. Depois: baixar em planilha (CSV) ou Imprimir / Salvar PDF.

Relatório de Cliente (raio-X)

Tela SmartFlow › Relatórios › Relatório de Cliente — dados ilustrativosTudo sobre um cliente num documento só.

1Assinante PPPoE: busque por login, IP, bloco IPv6 ou MAC.
2Cliente direto: busque pelo AS, pelo cadastro ou pela porta.
3Gerar relatório: consumo, picos, pico típico (P95), sinal óptico, BGP, saúde e ataques. Um “—” quer dizer “não medido”, não zero.

Do resultado dá para Agendar envio, Salvar no arquivo (guarda os números de hoje como estão) e imprimir em PDF.

Agendados e arquivo

Tela SmartFlow › Relatórios › Agendados — dados ilustrativos1 Novo Agendamento: tipo, frequência (diário, semanal, mensal), canal (e-mail, Telegram) e quem recebe.

Em Histórico & Arquivos ficam os relatórios já gerados, para baixar de novo.

Relatório de ataques de um cliente

Tela SmartFlow › Anomalias › Relatório — dados ilustrativosEm Proteção DDoS, aba **Relatório**: todos os ataques contra um AS no período, com o tráfego, os tipos de ataque e a resposta do sistema — o documento para mandar ao seu cliente depois de um ataque.

No celular (Telegram e Mini App)

Os incidentes chegam como cartão no Telegram do NOC — e, se você vinculou o seu Telegram em Meu Perfil, também no seu privado. Cada cartão tem os botões ✋ Assumir, 🔕 Silenciar 30 min, 🖥 Ver painel (web) e 📱 Abrir no app, que abre o Mini App: o painel do NOC dentro do Telegram.

Tela Telegram › SmartFlow NOC › Incidentes — dados ilustrativosO quadro de incidentes no celular, com os contadores por gravidade.

Tela Telegram › SmartFlow NOC › Incidente — dados ilustrativosO incidente com o resumo do ataque e os botões de ação.

Aba	O que tem
📊 Painel	Ataques ativos, mitigando, em observação, incidentes abertos, sem responsável e sessões BGP fora; as últimas ações e os incidentes críticos de hoje.
⚠️ Incidentes	O mesmo quadro da web: filtros por gravidade e tipo, busca, ativos e resolvidos nas últimas 24 h.
🌐 Rede	Tráfego total, cada grupo de links (trânsito, CDN, PTT…) e as sessões BGP.
👥 Clientes	A busca de clientes, com tráfego, SLA e ataques de cada um.

Dentro de um incidente

✋ Pegar pra mim, 🔕 Silenciar 30 min e ✅ Resolver.
Nos ataques, o resumo do ataque: tipo, banda, pacotes, origens e a decisão da detecção (nota, nível e o que faltou para ser ataque).
⚡ Mitigar… se tiver permissão: mostra antes o que vai ser feito, com o selo SIMULAÇÃO ou LIVE, e só age depois que você confirma.
Prefixos sob mitigação: os blocos desviados ou filtrados por causa deste incidente, com o botão 🗑 Retirar da mitigação se tiver permissão.
🚫 Não era ataque (falso positivo), com o motivo.
Anotação: registre o que encontrou, o que fez e com quem falou. Fica no histórico do incidente, visível também na web.

Apareceu “Acesso não autorizado” no Mini App? O seu Telegram ainda não está vinculado. Vincule em Meu Perfil, no computador, e abra de novo.

Portal do Cliente

Seus clientes de trânsito podem acompanhar os próprios ataques num portal separado: o que está acontecendo agora, o histórico, o tráfego dos circuitos, a sessão BGP e, se contratado, a cobrança pelo pico típico (percentil 95). Cada cliente vê só os próprios blocos. Para liberar o portal a um cliente, fale com o suporte.

Receitas prontas

Chegou um alerta de ataque no Telegram

Abra o cartão e toque em Pegar pra mim.
Abra o ataque (pelo número, em Ir para №). Olhe Esperado → Pico e a aba Detecção.
Veja a Recomendação na Visão Geral. Se o sistema já agiu, confira em Desvios em andamento.
Se desviou, confirme no Looking Glass que está Visível.
Quando acabar, Resolver o incidente. Se não era ataque, Falso Positivo.

O cliente reclama de lentidão

Downstreams: o cliente está na caixa vermelha? Porta, sinal óptico ou sessão BGP com problema?
Anomalias → Arquivo: busque o AS do cliente — houve ataque?
Visão Externa: a internet vê perda ou atraso até ele?
Consumo por Prefixo/AS: o link dele está cheio? Por onde entra o tráfego?

Caiu uma região inteira de fibra

No Painel de Incidentes ou em OLTs, veja qual OLT e qual PON têm Queda em massa.
Abra o Mapa de Rede com a camada Fibra: o painel de falhas diz se é Possível rompimento ou Possível falha elétrica.
Rompimento: clique na falha, anote o trecho provável (“de X a Y km da OLT”) e as caixas que ainda estão online adiante — isso encurta a busca em campo.
Falta de energia: confira com a concessionária antes de mandar equipe.
Registre o que foi feito na anotação do incidente e Resolver quando voltar.

O assinante diz que a internet cai toda hora

Em Assinantes PPPoE, busque o login e abra o detalhe: veja Sessões (logins e quedas).
Se for cliente de fibra, abra a ONU dele em OLTs: o sinal está fraco? Está pior que o dos vizinhos?
Queda com dying gasp é energia na casa do cliente; com LOS é fibra.
Para mandar ao cliente, gere o Relatório de Cliente.

Os clientes dizem que um aplicativo não abre

Abra Conectividade e procure o serviço.
Oficial fora do ar? O problema é do próprio serviço — informe os clientes.
Fora só daqui (só daqui?)? Use Testar agora e fale com o suporte com o print.

Quero desviar toda sexta à noite

Desvios em andamento → Desviar prefixo → bloco → Toda semana → marque sex, Das 20:00, Até 23:59 → Revisar → Salvar agendamento. Veja Desvio programado.

O desvio não sai

Faixa amarela SIMULAÇÃO? A proteção está em testes e nada sai para a rede — fale com o suporte.
O assistente disse Não é possível desviar? O motivo vem escrito logo abaixo.
Saiu, mas o Looking Glass diz Não visível? fale com o suporte e informe o bloco.

Era falso positivo

Na página do ataque, Falso Positivo → escreva o motivo. Depois o caso é revisado em Falsos Positivos — é aí que o sistema aprende a não alarmar de novo.

Perguntas frequentes

Uma tela desta ajuda não aparece no meu menu.

Ou o módulo não faz parte do contrato do seu provedor, ou a tela não foi liberada para o seu usuário. Nos dois casos, fale com o suporte.

Posso mudar um limite, um alerta ou a forma como o sistema protege um bloco?

Essas regras são ajustadas pela Layer7, junto com você, para não desequilibrar a proteção. Diga o que você quer que aconteça (“este bloco deve ser desviado sozinho”, “este alerta toca demais”) e o suporte ajusta.

A nota passou de 70 e não virou ataque. Por quê?

Nota alta é só uma das condições. Na aba Detecção, o quadro Para ser ataque mostra qual ficou com ✗ — quase sempre o tamanho: o tráfego está fora do normal, mas ainda é pequeno para ser ataque.

Por que um ataque ficou em “Sem proteção”?

O bloco é só acompanhado (só monitorado): o sistema avisa, mas não age. Para ativar a proteção dele, fale com o suporte.

O gráfico termina alguns minutos antes de agora.

É de propósito: os últimos minutos ainda estão chegando dos roteadores. Desenhá-los faria parecer que o tráfego caiu. Veja o gráfico.

Retirei um desvio automático e ele voltou.

O ataque continuava, e o sistema desviou de novo. Se você tem certeza de que não precisa, marque o alerta como falso positivo: isso retira na hora a proteção ligada por ele e manda o caso para revisão.

Qual a diferença entre filtro (FlowSpec), desvio e descarte (blackhole)?

O filtro descarta só o ataque, no seu próprio roteador; o desvio manda todo o tráfego do bloco para limpeza e devolve o tráfego bom; o descarte joga fora tudo que vai para um IP. Veja o desenho.

O analisador de consumo apontou um assinante. Posso bloquear?

O analisador só aponta comportamento parecido com revenda ou uso empresarial — não é prova. Confira o detalhe e o contrato antes de qualquer contato. Se for um plano legítimo, use Liberar para ele sair da lista.

O mapa diz “Possível rompimento”. É certeza?

Não. É uma indicação automática feita a partir do desenho da rede e dos alarmes das ONUs. Ajuda a saber por onde começar, mas precisa ser confirmada em campo.

Como troco a minha senha?

Pelo suporte Layer7 ou pelo responsável pelo SmartFlow no seu provedor.

Uma bolinha de cliente aparece fora do lugar no mapa.

Bolinha com contorno tem posição aproximada, calculada pela distância da fibra. Para corrigir a posição de um cliente ou de uma caixa, fale com o suporte.

Glossário

Anomalia: Tráfego de um alvo fora do normal. Pode virar ataque ou não.
AS / ASN: O número que identifica a rede de uma empresa na internet (o seu provedor tem um).
Bloco / prefixo: Um conjunto de endereços IP, como 203.0.113.0/24.
BNG / BRAS: O concentrador onde os assinantes PPPoE se conectam.
Central de limpeza (scrubbing): Serviço que recebe o tráfego sob ataque, descarta o ataque e devolve só o tráfego legítimo.
CGNAT: Equipamento que faz vários clientes compartilharem o mesmo IP público.
CTO: Caixa de atendimento na rua, de onde sai o cabo (drop) até a casa do cliente.
dBm: A unidade do sinal óptico. Quanto mais perto de zero, mais forte (−18 é melhor que −27).
DDoS: Ataque que tenta derrubar um serviço enchendo-o de tráfego vindo de muitos lugares ao mesmo tempo.
Descarte (blackhole / RTBH): Jogar fora todo o tráfego para um IP atacado.
Desvio: Mandar o tráfego de um bloco para a central de limpeza, que devolve só o tráfego bom.
Dying gasp: O “último suspiro” da ONU: o aviso que ela manda quando perde energia.
Filtro (FlowSpec): Regra no roteador que descarta só o tráfego que combina com ela (tipo, porta, origem).
Latência, jitter e perda: Atraso de ida e volta, variação desse atraso e pacotes que se perdem no caminho.
Looking Glass: Janela para ver como a internet enxerga as rotas da sua rede.
LOS: Perda de sinal da fibra: a luz deixou de chegar à ONU (fibra rompida, dobrada ou desconectada).
Normal do bloco: O tráfego que o sistema aprendeu como normal para cada bloco, hora a hora.
OLT / PON / ONU: A OLT fica no POP; cada porta dela (PON) atende vários clientes por splitters; a ONU é o equipamento de fibra na casa do cliente.
P95 (pico típico): O valor que o tráfego só ultrapassa em 5% do tempo. Ignora picos de poucos minutos e é a base comum de cobrança.
PPPoE: A forma como o assinante se conecta à internet com login e senha.
Protegido / só monitorado: Protegido: o sistema pode agir contra ataques. Só monitorado: o sistema vê e avisa, mas não age.
Simulação: Fase de testes da proteção: tudo é decidido e registrado, mas nada sai para a rede.
SLA: Disponibilidade: a porcentagem do tempo em que um link ou serviço esteve funcionando.
Vetor: O tipo de ataque: inundação UDP, SYN flood, reflexão DNS…

Precisa de ajuda?

Fale com o suporte Layer7 pelos canais combinados na contratação. Para resolver mais rápido, mande junto:

O número do ataque ou do incidente (aparece no Telegram e no topo da página, como #1234);
o horário em que você percebeu o problema;
um print da tela que mostra o problema;
o bloco, o cliente ou o equipamento envolvido.

Pedidos de ajuste — proteger um bloco novo, cadastrar um equipamento, liberar uma tela para um colega, mudar um alerta — também vão pelo suporte.