此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。
思科可能会在某些地方提供本内容的当地语言翻译版本。请注意，翻译版本仅供参考，如有任何不一致之处，以本内容的英文版本为准。
以下主题介绍如何使用统一事件：
统一事件为您提供多种类型（连接、入侵、文件、恶意软件和一些安全相关的连接事件）的单一屏幕视图。相互关联的事件在表中堆叠在一起，以提供有关安全事件的统一视图和更多上下文。如果“统一事件”表中有入侵事件，请点击入侵事件以突出显示关联的连接事件。现在，您可以将连接事件与入侵事件关联，以便更好地解决网络问题，而无需在多个事件查看器之间切换。
统一事件表可高度自定义。您可以创建和应用自定义过滤器，以微调事件查看器上显示的信息。统一事件查看器还可以选择保存您经常用于特定需求的自定义过滤器，然后快速加载已保存的过滤器。此外，您还可以通过添加或删除列、固定列或拖动列并重新排序来创建定制的事件查看器表。
通过“统一事件”表中的 实时视图 选项，您可以实时查看防火墙事件并监控网络上的活动。例如，如果您是防火墙管理员，在进行策略更改后实时查看事件更新可以帮助您确保在网络上正确实施策略更改。
任意。
任意。
管理员
安全分析师
在单个表中查看和处理各种防火墙事件，而无需在多个事件查看器之间切换。
使用此视图：
在统一视图中查找不同类型事件之间的关系。
实时查看策略更改的影响。
您必须具有 管理员 或 安全分析师 权限才能执行以下任务。
|
步骤 1 |
选择 。 |
||||||||||||||||||||||||||
|
步骤 2 |
选择时间范围（固定或滑动）。有关详细信息，请参阅 统一事件查看器中的设置时间范围 主题。 |
||||||||||||||||||||||||||
|
步骤 3 |
如果要在 Secure Network Analytics 设备上远程存储事件，并且有充分的理由更改数据源，请选择数据源。请查看 在 Cisco Secure Network Analytics 设备上存储的连接事件中的 Cisco Secure Firewall Management Center 工作中的重要信息。 |
||||||||||||||||||||||||||
|
步骤 4 |
您可以过滤统一事件查看器最初显示的大量防火墙事件，以了解网络中事件的更精细情景。有关详细信息，请参阅 统一事件查看器中的过滤器。 |
||||||||||||||||||||||||||
|
步骤 5 |
选择更多选项：
|
在统一事件查看器中配置时间范围，以查看特定时间段的防火墙事件。当您更改时间范围时，统一事件查看器会自动刷新以反映您的更改。
您选择的时间范围不适用于事件查看器中的其他表。例如，您在查看连接事件时选择的时间范围不适用于统一事件查看器，反之亦然。
 重要 |
如果您的时间段延长到超出连接事件的保留期，请在 下的表中查找安全情报事件。 |
您必须具有 管理员 或 安全分析师 权限才能执行此任务。
|
步骤 1 |
选择 。 默认情况下，统一事件查看器显示过去一小时的事件。 |
||
|
步骤 2 |
点击当前时间范围。 |
||
|
步骤 3 |
选择以下其中一个选项：
|
||
|
步骤 4 |
点击应用。 |
将统一事件查看器配置为实时显示防火墙事件，而无需手动刷新事件查看器。在 实时视图 模式下，当网络中发生安全事件时，会实时显示事件日志，这有助于您更好地解决问题。
您必须具有 管理员 或 安全分析师 权限才能执行此任务。
|
步骤 1 |
选择 。 默认情况下，统一事件查看器显示最近一小时的事件。 |
|
步骤 2 |
要查看实时事件更新，请点击 上线。 新事件将填充在事件表的顶部。时间范围部分显示一个计时器，通知您统一事件查看器的运行时间。 |
要退出实时视图模式，请点击 实时。
统一事件查看器最初显示过去一小时内的多种类型的防火墙事件。您可以过滤统一事件的默认视图，以获取更精细的网络活动情景图片。过滤器支持排除和包含过滤条件。
过滤器可帮助您快速访问关键信息。例如，如果您是防火墙管理员，并且要允许或拒绝某些用户访问特定应用，则可以设置用户搜索条件以扫描防火墙日志。事件查看器显示与搜索条件匹配的事件日志。
您必须具有 管理员 或 安全分析师 权限才能执行以下任务。
|
步骤 1 |
选择 。 |
||
|
步骤 2 |
输入过滤器条件：
|
||
|
步骤 3 |
执行搜索。
与其他事件查看器表不同，当显示的列都具有相同的值时，统一事件查看器中的事件不会聚合。与过滤条件匹配的每个事件都单独列出。 |
要保存自定义过滤器，请参阅 统一事件查看器中的保存搜索 主题。
您必须具有 管理员 或 安全分析师 权限才能保存列集。
|
步骤 1 |
选择 。 |
|
步骤 2 |
按照 统一事件查看器 主题的过滤器中的说明建立搜索条件。 |
|
步骤 3 |
点击 搜索 ( |
|
步骤 4 |
点击 +保存搜索。 |
|
步骤 5 |
指定搜索的名称，然后点击 确定 ( |
要加载已保存的搜索，请参阅 在统一事件查看器中加载已保存的搜索 主题。
您必须具有 管理员 或 安全分析师 权限才能执行此任务。
按照 统一事件查看器中保存搜索 主题的说明建立已保存搜索。
|
步骤 1 |
选择 。 |
|
步骤 2 |
点击搜索文本框上的 搜索 ( |
|
步骤 3 |
或者，点击 打开已保存的搜索详细信息面板 图标，然后选择已保存的搜索以查看所选搜索的过滤条件。点击 应用搜索 以加载搜索。 |
您必须具有 管理员 或 安全分析师 权限才能保存列集。
|
步骤 1 |
选择 。 |
|
步骤 2 |
点击列选择器图标 ( |
|
步骤 3 |
从 已保存的列集 下拉列表中，点击 + 从当前选择创建列集。 |
|
步骤 4 |
指定列集的名称，然后点击 确定 ( |
要加载已保存的列集，请参阅 在统一事件查看器中加载已保存的列集 主题。
您必须具有 管理员 或 安全分析师 权限才能执行此任务。
保存收藏夹列集，如 在统一事件查看器中保存列集 主题中所述。
|
步骤 1 |
选择 。 |
|
步骤 2 |
点击列选择器图标 ( |
|
步骤 3 |
从 已保存的列集 下拉列表中，选择要加载的列集。 |
某些字段中的值取决于事件类型。字段对应关系如下：
|
统一事件查看器字段名称 |
连接或安全情报事件字段名称 |
入侵事件字段名称 |
文件事件字段名称 |
恶意软件事件字段名称 |
|---|---|---|---|---|
|
时间 |
首个数据包 参见下文注意事项。 |
时间 |
时间 |
时间 |
|
活动类型 |
-- |
-- |
-- |
-- |
|
操作 |
操作 |
内联结果 |
操作 |
操作 |
|
原因 |
原因 |
原因 |
（不适用） |
（不适用） |
|
源 IP |
发起方 IP |
源 IP |
发送 IP |
发送 IP |
|
目标 IP |
响应方 IP |
目标 IP |
接收 IP |
接收 IP |
|
源端口/ICMP 类型 |
源端口 |
源端口 |
发送端口 |
发送端口 |
|
目标地端口/ ICMP 代码 |
目的端口 |
目的端口 |
接收端口 |
接收端口 |
|
Web 应用程序 |
Web 应用程序 |
Web 应用程序 |
Web 应用程序 |
Web 应用程序 |
|
规则 |
访问控制规则 |
访问控制规则 |
（不适用） |
（不适用） |
|
策略 |
访问控制策略 |
入侵策略 |
文件策略 |
文件策略 |
|
设备 |
设备 |
设备 |
设备 |
设备 |
|
NAT 源 IP |
NAT 源 IP |
（不适用） |
（不适用） |
（不适用） |
|
NAT 目标 IP |
NAT 目标 IP |
（不适用） |
（不适用） |
（不适用） |
|
NAT 源端口 |
NAT 源端口 |
（不适用） |
（不适用） |
（不适用） |
|
NAT 目标端口 |
NAT 目标端口 |
（不适用） |
（不适用） |
（不适用） |
|
MITRE |
（不适用） |
MITRE |
MITRE |
MITRE |
|
规则组 |
（不适用） |
规则组 |
（不适用） |
（不适用） |
有关字段说明，请参阅以下主题：
另请参阅有关发起方/响应方，源/目标和发件人/接收方字段的说明。
注 |
即使您在连接开始时未启用日志记录，系统也会将此值用作统一事件查看器中的时间字段。要确定是否在连接开始和结束时记录了连接事件，请展开事件的行以查看详细信息。如果连接的两端均已记录，您会看到 最后一个数据包 字段。 |
|
特性 |
版本 |
详细信息 |
|---|---|---|
|
保存常用搜索 |
7.3 |
将列集和搜索保存为收藏项，稍后快速启动它们。 |
|
统一事件查看器 |
7.0 |
查看和处理具有多种事件类型的单个表：连接（包括安全情报）、入侵、文件和恶意软件。 新增/修改的页面： 下面的新页面。 支持的平台： 管理中心 |
) 并选择列。
) 图标。
) 图标。
反馈