12°

Lab vivo

recolectando · última corrida 11-sept, 01:16 a. m. UTC

Riesgo sobre tráfico real

Reglas y modelo mirando este sitio, el registro de autenticación del VPS y las menciones públicas del nombre. Se registra solo; nada de esto se edita después.

Eventos procesados1.706web 1.644 · ssh 45 · tls 17
Marcados1599,32% de los eventos
Marcados solo por el modelo11975% de lo marcado
Días con registro22026-09-10 → 2026-09-11 · 6 corridas
El pipeline, con los números del período encimaCada caja es un proceso que está corriendo. Los puntos son el tráfico, en proporción a cada fuente; ámbar es lo que marcó una regla, teal lo que solo vio el bosque.
01 / Fuentes02 / Kafka03 / Flink04 / DecisiónCaddy10 sitios · cada petición1.644Handshake TLSantes de que exista HTTP17sshdaceptada o fallida45Mencionesnews · HN · GitHub0efg_events1.706 eventosReglas R1–R6por clave · umbrales40 disparosRandom Cut Forestglobal + uno por host119 solo el modeloefg_decisions159marcados · 9,3%
Cada corridaUna barra por corrida de recolección: cuánto tráfico pasó y cuánto de ese quedó marcado.
  • sin marcar
  • marcados
Ver como tabla
Corrida (UTC)EventosMarcadosMarcados solo por el modelo
10-sept, 03:43 a. m.4621
10-sept, 06:40 a. m.4014639
10-sept, 12:40 p. m.4885739
10-sept, 06:40 p. m.200149
11-sept, 12:40 a. m.5143628
11-sept, 01:16 a. m.5743
Las últimas 24 horas, reproducidasCada punto es una detección en su minuto (UTC). El cabezal recorre la ventana cada 16 segundos y los enciende al pasar.
  • una regla · 40
  • solo el modelo · 119
Qué disparó
  • R2_RUTA_SENSIBLERuta que nadie navega · .env, wp-login, .git32
  • R4_ERROR_SERVIDOREl borde devolvió 5xx en un sitio estático7
  • R6_SONDEO_MTLSHandshake sin certificado válido contra un endpoint mTLS1
Tráfico por hostTodos los sitios detrás del borde escriben en el mismo pipeline, también los que nadie enlaza.
  • efraingaray.com540
  • mentesenvoz.com5
  • psbi.efraingaray.com3
  • webmail.efraingaray.com2
  • api.efraingaray.com2
  • auth.efraingaray.com1
  • pay.efraingaray.com1
  • www.efraingaray.com1
Claves más marcadasLas direcciones web llegan enmascaradas a /24 desde el propio Caddy, así que hasta la subred llega esto.
  • 179.60.72.038
  • 100.80.252.08
  • 104.23.221.07
  • 81.65.94.06
  • 66.249.65.05
  • 3.142.129.05
  • 74.7.241.05
  • 57.141.22.05
Últimas detecciones
Hora (UTC)FuenteClaveDetalleRegla
11-09-26, 1:13 a. m.tls179.60.72.0tls: client didn't provide a certificateR6_SONDEO_MTLS
11-09-26, 1:11 a. m.tls194.24.161.0no certificate available for '172.18.0.6'modelo
11-09-26, 12:56 a. m.tls216.81.245.0no certificate available for 'files.phantom-dash.com'modelo
11-09-26, 12:43 a. m.web139.59.31.0/modelo
11-09-26, 12:36 a. m.web69.171.230.0/robots.txtmodelo
11-09-26, 12:25 a. m.tls194.24.161.0no certificate available for '172.18.0.6'modelo
10-09-26, 11:58 p. m.web118.171.147.0/media/post-cuantico-chile-medido-reel.mp4modelo
10-09-26, 11:47 p. m.web104.23.221.0/wp-admin/install.phpR2_RUTA_SENSIBLE
10-09-26, 11:47 p. m.web104.23.221.0/wp-admin/install.phpR2_RUTA_SENSIBLE
10-09-26, 11:24 p. m.web118.31.112.0/modelo
10-09-26, 11:19 p. m.tls194.24.161.0no certificate available for '172.18.0.6'modelo
10-09-26, 11:10 p. m.tls179.60.72.0tls: client didn't provide a certificatemodelo

Verlo ocurrir

Una página que el servidor deja abierta y sigue escribiendo: cada decisión aparece en el instante en que el pipeline la toma, sin una línea de JavaScript.

Abrir el flujo en vivo

Qué mide esto y qué no

El artículo detrás de esta medición calculó recall contra anomalías inyectadas y etiquetadas. Aquí nadie etiqueta nada, así que el recall no se puede calcular. Lo que sí: cuánto dispara cada regla, sobre cuántas claves distintas, y si el bosque llega a marcar algo que las reglas no vieron. Un cero en ese último número no prueba que el modelo no sirva, dice que el tráfico todavía no ha traído nada fuera de su distribución.

Leer la medición que hay detrás

Se actualiza en cada despliegue desde el registro que commitea el trabajo programado.