Kiedy powstaje
Raport wystawiamy, gdy spełnione są jednocześnie trzy warunki.
- System wykrywania zakończył wszystkie alarmy ataku.
- Od końca ataku minęło 20 minut, a na ten adres nie trwa kolejny atak ani żaden nie zakończył się w ciągu ostatnich 20 minut.
- Każda część charakterystyki ruchu, którą raport drukuje, jest kompletna. Część, której system wykrywania nie przekaże, raport wymienia z nazwy.
Gdy ataki na ten sam adres następują po sobie, raporty całej serii wystawiamy razem, po ostatnim z nich. Numer ma postać RA/2026/09/0007: seria miesięczna według daty wystawienia. Podajesz go wszędzie, gdzie powołujesz się na raport.
Co zawiera
Raport zaczyna się podsumowaniem, po nim idą numerowane sekcje i załączniki. Sekcji, dla której nie ma danych, raport nie drukuje.
| Część raportu | Zawartość |
|---|---|
| Podsumowanie | Klient i numer umowy, adres docelowy i prefiks, a przy ataku na całą sieć lista chronionych prefiksów, początek, koniec i czas trwania ataku, kierunek ruchu, wektory ataku, natężenie szczytowe w bitach i w pakietach na sekundę, trzy kraje o największym natężeniu ruchu, liczba adresów źródłowych z liczbą ich krajów, miast i systemów autonomicznych oraz ocena NOC. Czas podajemy w czasie polskim z oznaczeniem strefy, CET albo CEST, z dokładnością do sekundy |
| Przebieg ataku | Średnia minutowa w bitach i w pakietach na sekundę, na dwóch wykresach. Minutę bez pomiaru oznacza szary znacznik |
| Klasy ruchu, Protokoły | Maksimum, średnia i maksimum pakietów na sekundę dla każdej klasy ruchu i każdego protokołu |
| Adresy źródłowe o największym natężeniu | Adresy, z których system wykrywania zmierzył ruch do atakowanego adresu, z AS, krajem, maksimum, średnią i maksimum pakietów |
| Wykaz adresów źródłowych, Położenie adresów źródłowych, Kraje źródłowe, Miasta źródłowe, Sieci adresów źródłowych (AS) | Wszyscy nadawcy ruchu do atakowanego adresu w czasie ataku: liczba adresów, mapa krajów i miast, tabela krajów oraz 25 miast i 10 sieci z największą liczbą adresów |
| Porty docelowe, Porty źródłowe, Flagi TCP i komunikaty ICMP, Rozkład rozmiaru pakietów, Wzorce ruchu | Charakterystyka ruchu ataku: do dziesięciu pozycji w każdym wymiarze, udział przedziałów rozmiaru w liczbie pakietów ataku i przepływy o największym natężeniu |
| Załączniki | Pełna lista sieci, gdy jest ich więcej niż dziesięć, i pełny wykaz adresów źródłowych ruchu do celu, rosnąco. Ten sam wykaz z AS, nazwą sieci, krajem i miastem każdego adresu zawiera plik CSV |
Jak czytać charakterystykę ruchu
| Sekcja | Co z niej odczytasz |
|---|---|
| Porty docelowe | Atakowaną usługę albo, przy wielu losowych portach, zalew na cały adres. Ruch UDP na port usługi działającej wyłącznie po TCP, na przykład SSH albo SMTP, nie jest zwykłym ruchem żadnego klienta |
| Porty źródłowe | Czy atak był odbiciem. Odbicie przychodzi z jednego, stałego portu usługi, na przykład UDP 123 przy NTP albo UDP 11211 przy memcached |
| Flagi TCP i komunikaty ICMP | Rodzaj zalewu TCP, na przykład same pakiety SYN bez ACK, i typy komunikatów ICMP z ich kodami |
| Rozkład rozmiaru pakietów | Zalew małymi pakietami, który obciąża routery i hosty liczbą pakietów, albo duże odpowiedzi amplifikacji, które zajmują łącze |
| Wzorce ruchu | Przepływy o największym natężeniu: protokół, źródło z portami i cel. Na ich podstawie przygotujesz reguły filtrowania w swojej sieci |
Wykaz adresów a źródła ataku
Wykaz obejmuje wszystkich nadawców ruchu do atakowanego adresu, także ruchu prawidłowego, i nie podaje natężenia z pojedynczego adresu. Dowodem, kto wysłał atak, są adresy o największym natężeniu, które zmierzył system wykrywania. W zgłoszeniu do operatora sieci źródłowej podawaj te adresy, a nie cały wykaz.
| Cecha | Adresy źródłowe o największym natężeniu | Wykaz adresów źródłowych |
|---|---|---|
| Kto jest na liście | Adresy, z których system wykrywania zmierzył ruch do celu, od największego natężenia | Każdy nadawca ruchu do atakowanego adresu w czasie ataku |
| Natężenie z adresu | Maksimum i średnia w bitach na sekundę, maksimum pakietów | Brak |
| Kraje i sieci | Kraj i AS każdego adresu | Mapa, kraje, miasta i sieci według liczby adresów |
| Do zgłoszenia operatorowi sieci źródłowej | Tak | Nie |
Przy ataku odbiciem adres źródłowy należy do reflektora, czyli serwera, który odpowiedział na zapytanie z podrobionym nadawcą. Przy zalewie TCP SYN albo UDP adres źródłowy bywa podrobiony i może nie należeć do rzeczywistego nadawcy. Zanim zgłosisz adres operatorowi jego sieci, sprawdź w sekcji „Porty źródłowe”, czy atak był odbiciem. Mechanizmy ataków
Ocena NOC
| W panelu | W raporcie | Znaczenie |
|---|---|---|
| „atak potwierdzony przez NOC” | „atak potwierdzony” | NOC potwierdził, że ruch był atakiem |
| „NOC: fałszywy alarm” | „fałszywy alarm” | NOC uznał, że ruch nie był atakiem |
| „NOC: wzmożony ruch uprawniony” | „wzmożony ruch uprawniony” | NOC uznał ruch za prawidłowy, choć większy niż zwykle |
| „NOC: awaria sieci” | „awaria sieci” | NOC wiąże zdarzenie z awarią sieci, a nie z atakiem |
| „NOC: atak nieistotny” | „atak nieistotny” | NOC uznał atak za nieistotny |
Ocena pojawia się, gdy NOC ją wyda. Raport podaje jedną ocenę dla całego ataku, a dopóki NOC jej nie wyda, wiersza „Ocena NOC” w podsumowaniu nie ma.
Raport korygujący
Gdy po wystawieniu zmieni się to, co raport drukuje, wystawiamy raport korygujący pod nowym numerem, ze wskazaniem raportu, który zastępuje. Korektę wywołuje zmiana czasu początku albo końca ataku, charakterystyki ruchu albo oceny NOC. Korektę wysyłamy e-mailem wtedy, gdy raport, który zastępuje, wysłaliśmy automatycznie, a atak jest widoczny w panelu, czyli ma co najmniej 5 Gb/s szczytu.
Przykład
Pod tytułem raportu korygującego nr RA/2026/10/0021 stoi zdanie: „Raport korygujący. Zastępuje raport nr RA/2026/10/0014 z dnia 10 października 2026 r.”
Raport zastąpiony zostaje w postaci, w jakiej go wystawiliśmy. Strona ataku w panelu i API podają zawsze raport bieżący.
Wysyłka i pobranie
| Kanał | Co dostajesz | Kiedy |
|---|---|---|
| Raport w PDF i wykaz adresów źródłowych w CSV, w załącznikach. Raport zastępuje osobną wiadomość o końcu ataku | Przy atakach od 5 Gb/s szczytu, także gdy atak dojdzie do tej wartości później. Adresy z tematem „Ataki” | |
| Panel | Przycisk „Pobierz raport” z numerem raportu na stronie ataku, pełny wykaz adresów źródłowych i plik CSV | Przy każdym ataku od 5 Gb/s szczytu, od wystawienia raportu |
| API | GET /events/{id}/report raport w PDFGET /events/{id}/sources wykaz w JSONGET /events/{id}/sources.csv wykaz w CSV | Klucz z zakresem events:read |
Ataku o szczycie poniżej 5 Gb/s panel nie pokazuje, więc nie pokazuje też jego raportu. Raport nie podaje progów wykrywania, bo trafia poza Twoją firmę.
# numer i data wystawienia raportu ataku
curl -s https://api.nera.pl/api/v1/events/$EVENT_ID \
-H "X-Api-Key: nera_live_xxxxxxxxxxxxxxxxxxxx" | jq .report
# raport w PDF i wykaz adresów źródłowych w CSV
curl -o raport.pdf https://api.nera.pl/api/v1/events/$EVENT_ID/report \
-H "X-Api-Key: nera_live_xxxxxxxxxxxxxxxxxxxx"
curl -o wykaz.csv https://api.nera.pl/api/v1/events/$EVENT_ID/sources.csv \
-H "X-Api-Key: nera_live_xxxxxxxxxxxxxxxxxxxx"{
"id": "0f3c6a52-8e1d-4b7a-9c35-2d4e8f61a7b9",
"number": "RA/2026/10/0014",
"issued_at": "2026-10-10T21:41:27Z"
}Dopóki raport nie jest wystawiony, pole report ma wartość null, a GET /events/{id}/report odpowiada kodem 404. Dokumentacja API
Raport z ataku wchodzi w skład tranzytu IP z ochroną anty-DDoS i nie ma osobnej opłaty.
Atak w panelu i raport z ataku