访问规则的“源/目标”条件定义用于传递流量的安全区（接口）、IP 地址或 IP 地址的国家/地区或大洲（地理位置）、分配给地址的安全组标记 (SGT) 或流量中使用的协议和端口。默认设置为任何区域、地址、地理位置、SGT、协议和端口。

要修改条件，请点击该条件内的 + 按钮，选择所需的对象或元素，然后点击确定。如果条件需要对象，而所需的对象不存在，您可以点击创建新对象。点击对象或元素对应的 x，可将其从策略中移除。

您可以通过以下条件来标识规则中要匹配的源和目标。

源区域、目标区域

安全区对象，定义通过其传递流量的接口。可以定义一个或两个条件，也可以不定义任何条件：未指定的任何条件都将应用到任何接口上的流量。

• 要匹配从区域中的接口离开设备的流量，请将该区域添加至目标区域。

• 要匹配从区域中的接口进入设备的流量，请将该区域添加至源区域。

• 如果同时向一条规则添加源区域和目标区域条件，匹配流量必须源自其中一个指定源区域并通过其中一个目标区域流出。

如果应基于流量进入或离开设备的位置来应用规则，请使用此条件。例如，如果要确保到达内部主机的所有流量均进行入侵检测，则应将内部区域选为目标区域，同时将源区域保留为空。要在规则中实施入侵过滤，则规则操作必须为允许，并且必须在该规则中选择入侵策略。

注	不能在同一规则中搭配使用被动和路由安全区。此外，被动安全区只能被指定为源区域，不能作为目标区域。

源网络、目标网络

定义流量的网络地址或位置的网络对象或地理位置。

• 要匹配来自某个 IP 地址或地理位置的流量，请配置源网络。

• 要匹配流向 IP 地址或地理位置的流量，请配置目标网络。

• 如果同时向一条规则添加源网络条件和目标网络条件，匹配流量必须源自其中一个指定 IP 地址并流向其中一个目标 IP 地址。

添加此条件时，可从以下选项卡中进行选择：

• 网络 - 为您要控制的流量选择定义源或目标 IP 地址的网络对象或组。您可以使用通过完全限定域名 (FQDN) 定义地址的对象；通过 DNS 查询确定地址。

• 地理位置 - 选择要基于流量的源或目的国家/地区或大洲控制流量的地理位置。选择大洲将会选择该大洲内的所有国家/地区。除了直接在规则中选择地理位置外，也可以选择您创建的地理位置对象来定义位置。使用地理位置，可以便捷地限制对特定国家/地区的访问，而不需要知道此位置所用的全部潜在 IP 地址。

  注	为了确保使用最新的地理位置数据来过滤流量，思科强烈建议您定期更新地理位置数据库 (GeoDB)。

源端口、目标端口/协议

定义流量中所用协议的端口对象。对于 TCP/UDP，这可能包括端口。对于 ICMP，可包括代码和类型。

• 要匹配来自协议或端口的流量，请配置源端口。源端口只能为 TCP/UDP。

• 要匹配流向协议或端口的流量，请配置目标端口/协议。如果仅将目标端口添加至条件，则可以添加使用不同传输协议的端口。ICMP 和其他非 TCP/UDP 规格仅可用于目标端口，不允许用于源端口。

• 要同时匹配来自特定 TCP/UDP 端口的流量和流向特定 TCP/UDP 端口的流量，请配置源端口和目标端口。如果同时将源和目标端口添加至条件，则只能添加共享单一传输协议（TCP 或 UDP）的端口。例如，您可以匹配从端口 TCP/80 流至端口 TCP/8080 的流量。

源 SGT 组、目的地 SGT 组

从身份服务引擎 (ISE) 下载的标识分配给流量的安全组标记 (SGT) 的 SGT 组对象。仅当定义 ISE 身份源时，才能使用这些对象；否则，此部分将不会显示。有关如何使用 SGT 进行访问控制的详细信息，请参阅如何使用 TrustSec 安全组标记控制网络访问。

• 要匹配源具有组中定义的一个 SGT 的流量，请配置源 SGT 组。

• 要匹配流向具有组中定义的一个 SGT 的目的地的流量，请配置目的地 SGT 组。

• 如果同时向一条规则添加源和目的地 SGT 条件，匹配规则的流量必须来自具有其中一个指定标记的源并流向其中一个标记目的地。

访问规则的“应用”条件对 IP 连接中使用的应用进行定义，或按类型、类别、标记、风险或业务相关性定义应用的过滤器。默认设置为任何应用。

虽然您可以在规则中指定个别应用，但应用过滤器可简化策略创建和管理。例如，您可以创建一条访问控制规则，用于识别并阻止所有业务相关性较低的高风险应用。如果用户尝试使用这些应用中的任何一个，系统会阻止会话。

另外，思科会通过系统和漏洞数据库 (VDB) 更新频繁更新和添加其他应用检测器。因此，阻止高风险应用的规则可自动应用到新应用中，而无需您手动更新规则。

您可以直接在规则指定应用和过滤器，也可以创建定义这些特征的应用过滤器对象。规格相当，尽管如果要创建复杂规则，使用对象可便于遵守每个条件 50 个项目的系统限制。

要修改应用和过滤器列表，请点击该条件内的 + 按钮，选择在单独选项卡中列出的相应应用或应用过滤器对象，然后在弹出对话框中点击确定。在任一选项卡中，您可以点击高级过滤器选择过滤器条件或帮助您搜索特定应用。点击应用、过滤器或对象的 x，可将其从策略中移除。点击另存为过滤器链接，可将尚不是对象的组合条件另存为新应用过滤器对象。

注	如果所选应用已由 VDB 更新删除，则会在应用名称后显示“（已弃用）”。必须从过滤器中删除这些应用，否则将阻止后续部署和系统软件升级。

您可以使用以下高级过滤器条件来标识规则中要匹配的应用或过滤器。这些元素与应用过滤器对象中使用的元素相同。

注	单个过滤器条件中的多个选项具有 OR 关系。例如，风险高 OR 非常高。过滤器之间的关系是 AND，因此是风险高 OR 非常高，AND 业务相关性低 OR 非常低。在选择过滤器时，显示屏中的应用列表更新，只显示符合条件的应用。您可以使用这些过滤器来帮助查找要单独添加的应用，或确认是否要选择所需的过滤器以添加到规则中。

风险

应用所用的用途可能违反组织安全策略的可能性，从非常低到非常高。

业务相关性

在组织的业务运营环境（非娱乐性）下使用应用的可能性，从非常低到非常高。

类型

应用类型：

• 应用协议 - 应用协议（例如 HTTP 和 SSH），代表主机之间的通信。

• 客户端协议 - 客户端（例如 Web 浏览器和邮件客户端），代表主机上运行的软件。

• Web 应用 - Web 应用（例如 MPEG 视频和 Facebook），代表 HTTP 流量的内容或请求的 URL。

类别

说明应用的最基本功能的应用通用分类。

标记

关于应用的其他信息，与类别类似。

对于加密流量，系统可以仅使用标记有 SSL 协议的应用识别和过滤流量。只有在未加密或已解密的流量中才能检测到没有此标记的应用。此外，系统仅将已解密的流量标记分配给可在已解密的流量中检测到的应用，而不会将它们分配给加密或未加密的流量中检测到的应用。

应用列表（显示屏底部）

在从列表上方的选项中选择过滤器时，此列表将进行更新，所以您可查看当前符合过滤器的应用。在计划将过滤器条件添加到规则中时，使用此列表可确认您的过滤器是否针对所需的应用。如果您计划添加特定应用，请从此列表中选择它们。

访问规则中的 URL 条件对 Web 请求中使用的 URL 或请求的 URL 所属的类别进行定义。对于类别匹配，您还可以指定要允许或阻止的站点的相对信誉。默认设置为允许所有 URL。

如果启用 DNS 查找请求过滤，则类别和信誉设置也会应用于查找请求中的完全限定域名 (FQDN)。仅类别和信誉设置适用于 DNS 请求过滤。忽略手动 URL 过滤。

URL 类别和信誉可供您快速创建访问控制规则的 URL 标准。例如，您可阻止所有赌博网站或不受信任的社交网站。如果用户尝试浏览至任何包含该类别和信誉组合的 URL，会话将被阻止。

使用类别和信誉数据还会简化策略创建和管理。此方法可保证系统将按预期控制网络流量。最后，由于思科的威胁智能会不断更新有关新 URL 以及现有 URL 的新类别和新风险的信息，因此可以确保系统使用最新信息来过滤所请求的 URL。代表安全威胁（如恶意软件、垃圾邮件、僵尸网络和网络钓鱼）的恶意站点出现和消失的速度可能比您更新和部署新策略的速度要快。

要修改 URL 列表，请点击该条件内的 + 按钮，使用以下任一方法选择所需的类别或 URL。点击类别或对象的 x，可将其从策略中删除。

URL 选项卡

点击 +，选择 URL 对象或组，然后点击确定 (OK)。如果所需的对象不存在，可以点击创建新 URL (Create New URL)。

注	在配置特定目标站点的 URL 对象之前，请仔细阅读有关手动 URL 过滤的信息。

“类别”选项卡

点击 +，选择所需的类别，然后点击确定。

有关类别说明，请参阅 https://www.talosintelligence.com/categories。

默认为将规则应用于每个选定类别的所有 URL，不考虑信誉。要根据信誉限制规则，请点击每个类别的向下箭头，取消选中任何复选框，然后使用信誉滑块选择信誉级别。信誉滑块的左侧指示要允许的站点，右侧是要阻止的站点。如何使用信誉取决于规则操作：

• 如果该规则阻止或监控网络访问，则选择某个信誉级别也会选择高于该级别的所有信誉。例如，如果将规则配置为阻止或监控问题站点（第 2 级），该规则还会自动阻止或监控不受信任（第 1 级）站点。

• 如果该规则允许网络访问，则选择某个信誉级别也会选择低于该级别的所有信誉。例如，如果您将规则配置为允许可靠站点 （第 4 级），该规则还会自动允许受信任 （第 5 级）站点。

选择包含信誉未知的站点选项，可使具有未知信誉的 URL 包括在信誉匹配项中。新站点通常未评级，并且站点的信誉可能会由于其他原因而未知或无法确定。

检查 URL 的类别

您可以检查特定 URL 的类别和信誉。在待检查的 URL 框中输入 URL，然后点击前往。系统会将您转至外部网站以查看结果。如果您对分类持有不同意见，请点击提交 URL 类别争议链接，将您的想法反馈给我们。

访问规则的“用户”条件对 IP 连接的用户或用户组进行了定义。只有配置身份策略和相关联的目录服务器，才能在访问规则中包括用户或用户组条件。

您的身份策略决定是否收集某个特定连接的用户身份。如果建立了身份，则主机的 IP 地址与所识别的用户相关联。因此，源 IP 地址映射到用户的流量将被视为来自该用户。IP 数据包本身不包含用户身份信息，所以此 IP 地址到用户的映射是最接近的近似值。

由于最多可以向规则中添加 50 个用户或组，所以选择组比选择单个用户通常更有意义。例如，您可以创建一条规则允许“工程”组访问开发网络，并创建一条后续规则拒绝对该网络的所有其他访问。然后，要将该规则应用于新工程师，您只需添加将工程师添加到目录服务器的“工程”组即可。

您还可以选择身份源，以应用于该源中的所有用户。因此，如果您支持多个 Active Directory 域，您可以根据域提供不同的资源访问。

要修改用户列表，请点击该条件内的 + 按钮，并使用以下任一方法选择所需的身份。点击身份对应的 x，可将其从策略中删除。

• 身份源 - 选择身份源，例如 AD 领域或本地用户数据库，以将规则应用于从所选源获取的所有用户。如果所需的领域尚不存在，请点击创建新身份领域并立即创建。

• 组 - 选择所需的用户组。只有在目录服务器中配置了组，才能使用组。如果您选择了某个组，规则将应用于该组的所有成员，包括子组。如果要区别对待某个子组，您需要针对该子组创建一条单独的访问规则，并将其置于访问控制策略中适用于父组的规则之上。

• 用户 - 选择单个用户。用户名使用身份源作为前缀，例如“领域\用户名”。

  特殊身份领域中存在一些内置用户：

  • 身份验证失败 - 系统提示用户进行身份验证，但用户未在允许的最大尝试次数内输入有效的用户名/密码对。身份验证失败本身不会阻止用户访问网络，但您可以写入访问规则来限制这些用户访问网络。

  • 访客 - “访客”用户与“身份验证失败”用户类似，只是您的身份规则配置为将这些用户称为“访客”。系统提示“访客”用户进行身份验证，但他们在最大尝试次数内未成功通过身份验证。

  • 无需身份验证 - 系统不提示用户进行身份验证，因为该类用户的连接与指定不进行身份验证的身份规则匹配。

  • 未知 - 没有用户的 IP 地址映射，也没有身份验证失败的记录。通常，这意味着尚无来自该地址的 HTTP 流量。

使用文件策略来检测恶意软件，或 恶意软件，使用恶意软件防御。另外，您还可以使用文件策略执行文件控制，以允许控制特定类型的所有文件，而不考虑文件中是否包含恶意软件。

恶意软件防御使用 Cisco Secure Malware Analytics 云 检索网络流量中检测到的潜在恶意软件的处置，并获取本地恶意软件分析和文件预分类更新。管理接口必须可连接互联网，以便访问 Cisco Secure Malware Analytics 云 并搜索恶意软件。当设备检测到符合条件的文件时，它将使用该文件的 SHA-256 散列值来查询 Cisco Secure Malware Analytics 云 中是否存在该文件的处置。可能的处置包括：

• 恶意软件 - Cisco Secure Malware Analytics 云 将文件归类为恶意软件。如果其中的任何文件为恶意软件，存档文件（例如 zip 文件）会被标记为恶意软件。

• 安全 - Cisco Secure Malware Analytics 云 将文件归类为安全，不含恶意软件。如果其中的所有文件都安全，存档文件将会标记为安全。

• 未知 - Cisco Secure Malware Analytics 云 尚未指定该文件的处置。如果其中的任何文件属于未知状态，存档文件会被标记为未知。

• 不可用 - 系统无法通过查询 Cisco Secure Malware Analytics 云 来确定文件的处置。您可能看到很少一部分事件为此处置；这是预期行为。如果您连续看到许多“不可用”事件，请确保管理地址的互联网连接正常运行。

访问规则的日志记录设置确定是否对匹配规则的流量发出连接事件。只有启用日志记录，才能在事件查看器中查看与该规则相关的事件。另外，您还必须启用日志记录，才能使匹配流量反映到可用于监控系统的各种控制面板中。

您应该根据您组织的安全和合规性需求记录连接。如果您的目标是限制所生成事件的数量和提高性能，则只能启用对分析至关重要的连接的日志记录。然而，如果出于分析目的，您想要广泛了解网络流量，则可启用其他连接的日志记录。

小心	在拒绝服务 (DoS) 攻击期间记录被阻止的 TCP 连接会影响系统性能并因多个相似事件使数据库不堪重负。在对“阻止”规则启用日志记录之前，请考虑该规则是否监控面向互联网的接口或其他易受 DoS 攻击的接口。

您可以配置以下日志记录操作。

选择日志操作

可以选择下列操作之一：

• 在连接开始和结束时记录 - 在连接开始和结束时发出事件。由于连接结束事件包含连接开始事件所含的一切，以及连接期间可能收集的所有信息，所以思科建议不要对允许的流量选择此选项。记录两种事件可能会影响系统性能。但是，这是针对阻止的流量唯一允许的选项。

• 在连接结束时记录 - 如果要在连接结束时启用连接日志记录（建议对允许或受信任的流量执行此操作），请选择此选项。

• 在连接时不执行日志记录 - 选择此选项，可对规则禁用日志记录。这是默认值。

注	当访问控制规则调用的入侵策略检测到入侵并生成入侵事件时，系统会在发生入侵的位置自动记录连接终止，无论该规则的日志记录配置如何。对于入侵受阻的连接，连接日志中的连接操作为阻止，原因为入侵阻止，即使执行入侵检测，也必须使用“允许”规则。

文件事件

如果要对禁止文件或恶意软件事件启用日志记录，请选择日志文件。只有在规则中选择了文件策略，才能配置此选项。如果对规则选择了文件策略，则该选项默认处于启用状态。思科建议您将此选项保留为已启用。

当系统检测到受禁文件时，它会自动记录以下类型的事件之一：

• 文件事件，代表检测到或阻止的文件，包括恶意软件文件。

• 恶意软件事件，仅代表检测到或阻止的恶意软件文件。

• 可追溯的恶意软件事件，在之前检测到的文件的恶意软件处置变更时生成。

对于文件受阻的连接，连接记录中的连接操作为阻止，即便要执行文件和恶意软件检测，也必须使用“允许”规则。连接原因是文件监控（检测到某种文件类型或恶意软件）或者是恶意软件阻止或文件阻止（文件被阻止）。

将连接事件发送到

如果要将事件副本发送到外部系统日志服务器，请选择定义系统日志服务器的服务器对象。如果所需的对象尚不存在，请点击创建新系统日志服务器，并创建对象。（要对系统日志服务器禁用日志记录，请从服务器列表中选择任何）。

由于设备中的事件存储受限，所以将事件发送至外部系统日志服务器可供长期存储，并增强您的事件分析。

此设置仅适用于连接事件。要将入侵事件发送到系统日志，请在入侵策略设置中配置服务器。要将文件/恶意软件事件发送到系统日志，请在设备 > 系统设置 > 日志记录设置中配置服务器。