被动检测是通过分析网络通信量（以及任何导出的 NetFlow 数据）来填充网络映射的系统默认方法。被动检测提供有关您的网络资产（如操作系统和正在运行的应用）的情景信息。

如果来自受监控主机的流量不提供主机操作系统的确凿证据，则网络映射将显示最有可能的操作系统。例如，由于在 NAT 设备“后面”的主机，NAT 设备可能看起来正在运行多个操作系统。为了做出最可能的决定，系统使用其为每个检测到的操作系统分配的置信值，以及检测到的操作系统之间的确认数据量。

注	系统在确定时不考虑报告的“unknown”应用和操作系统。

如果被动检测不准确地识别您的网络资产，请考虑更换受管设备。您还可以使用自定义操作系统指纹和自定义应用检测器来增强系统的被动检测功能。或者，您可以使用主用检测，它不基于流量分析，而是允许您使用扫描结果或其他信息源直接更新网络映射。

主动检测会将主动源收集的主机信息添加到网络映射。例如，可使用 Nmap 扫描程序主动扫描网络上的目标主机。Nmap 可发现主机上的操作系统和应用。

此外，主机输入功能可用于将主机输入数据主动添加到网络映射。有两种不同类别的主机输入数据：

• 用户输入数据 - 通过 FirePOWER 系统用户界面添加数据。您可以通过此界面修改主机操作系统或应用身份。

• 托管导入输入数据 - 使用命令行实用程序导入的数据。

系统将为每个主动源保留一个身份。如果运行 Nmap 扫描实例，例如，先前的扫描结果将替代为新的扫描结果。然而，如果运行 Nmap 扫描，然后用结果通过命令行导入的客户端的数据替代这些结果，系统将同时保留来自 Nmap 结果的身份以及来自导入客户端的身份。然后，系统会使用网络发现策略中设置的优先级来确定用作当前身份的主动身份。

请注意，用户输入视为一个源，即使其来自不同的源。例如，如果用户 A 通过主机配置文件设置操作系统，然后用户 B 通过主机配置文件更改该定义，用户 B 设置的定义将保留，而用户 A 设置的定义将丢弃。此外，请注意，用户输入会覆盖所有其他的主动源，并会用作当前身份（如果其存在）。

主机上的应用或操作系统的当前身份是系统发现最有可能正确的身份。

系统会将操作系统或应用的当前身份用于以下用途：

• 分配漏洞至主机

• 影响评估

• 评估针对操作系统标识、主机配置文件合格性以及合规 allow 名单写入的关联规则

• 在工作流程的“主机”(Hosts) 和“服务器”(Servers) 表格视图中进行显示

• 在主机配置文件中进行显示

• 在“发现统计信息”(Discovery Statistics) 页面上计算操作系统和应用统计信息

系统会使用源优先级来确定哪个主动身份应该用作应用或操作系统的当前身份。

例如，如果用户在主机上将操作系统设置为 Windows 2003 Server，则 Windows 2003 Server 为当前身份。针对该主机上的 Windows 2003 Server 漏洞的攻击将被赋予更高的影响，而主机配置文件中为该主机列出的漏洞包括 Windows 2003 Server 漏洞。

对于主机上的操作系统或特定应用，数据库可能保留来自多个源的信息。

如果数据的源拥有最高的源优先级，系统会将操作系统或应用身份视作当前身份。可能的源的优先级顺序如下：

1. 用户

2. 扫描程序和应用（在网络发现策略中设置）

3. 受管设备

4. NetFlow 记录

如果优先级更高的新应用身份拥有的详细信息比当前身份少，则不会覆盖当前应用身份。

此外，如果出现身份冲突，冲突的解决取决于网络发现策略中的设置或者手动解决。

当系统检测到不同用户多次登录同一主机时，系统将假设某一时刻只有一个用户登录到了某给定主机，并且一个主机的当前用户是最后授权的用户登录。如果只有非授权用户登录用户登录主机，则最后的非授权用户登录用户将被视为当前用户。如果有多个用户通过远程会话登录，则服务器报告的最后用户是报告给 管理中心的用户。

当系统检测到同一用户多次登录到同一主机时，系统会记录用户在特定主机的首次登录并忽略后续的登录。如果单个用户是唯一登录到特定主机的人员，则系统唯一记录的登录为原始登录。

但是，如果另一用户登录到该主机，则系统会记录新的登录。如果原始用户再次登录，系统会记录其新的登录。

如果系统报告新的被动身份与当前主动身份和先前报告的被动身份冲突，就会发生身份冲突。例如，如将操作系统先前的被动身份报告为 Windows 2000，则主动身份 Windows XP 成为当前身份。接下来，系统检测到新的被动身份 Ubuntu Linux 8.04.1。身份 Windows XP 和 Ubuntu Linux 发生冲突。

如果主机的操作系统或主机上的某个应用存在身份冲突，系统会将两个冲突的身份均列为当前身份，并将二者用于影响评估，直到冲突解决。

有管理员权限的用户可自动解决身份冲突，只需选择始终使用被动身份或始终使用主动身份。除非禁用身份冲突的自动解决，否则身份冲突始终会自动解决。

有管理员权限的用户还可配置系统，从而在身份冲突发生时生成事件。然后，该用户可设置带有相关性规则的相关策略，规则将 Nmap 扫描用作相关性响应。如果事件发生，Nmap 会扫描主机以获取经过更新的主机操作系统和应用数据。

NetFlow 是一款思科 IOS 应用，可以提供有关流经路由器的数据包的统计信息。它在思科网络设备上可用，还可以嵌入到 Juniper、FreeBSD 和 OpenBSD 设备中。

在网络设备上启用 NetFlow 时，设备（NetFlow 缓存）上的数据库会存储通过路由器的数据流的记录。数据流（在系统中称为连接）是数据包序列，代表使用特定端口、协议和应用协议的源主机和目标主机之间的会话。可以将网络设备配置为导出此 NetFlow 数据。在本文档中，通过此方式配置的网络设备称为 NetFlow 导出器。

受管设备可以配置为从 NetFlow 导出器收集记录，根据这些记录中的数据生成单向连接结束事件，最后将这些事件发送到 管理中心以记录在连接事件数据库中。您还可以配置网络发现策略，以根据 NetFlow 连接中的信息将主机和应用协议信息添加到数据库。

可以使用这些发现和连接数据补充受管设备直接收集到的数据。这在让 NetFlow 导出器监控受管设备无法监控的网络时尤为有用。