可以配置系统在网络发现策略中记录的发现事件的类型。查看发现事件表时，事件 (Event) 列中列出事件类型。以下是发现事件类型的说明。

Additional MAC Detected for Host

系统检测到先前所发现主机的新 MAC 地址时，生成此事件。

系统检测到主机经流量通过路由器时，经常生成此事件。虽然每台主机都有不同的 IP 地址，但它们似乎都有与路由器关联的 MAC 地址。系统检测到与 IP 地址关联的实际 MAC 地址时，主机配置文件中 MAC 地址显示为粗体文本且在事件视图的事件说明中 MAC 地址显示为“检测到 ARP/DHCP”消息。

Client Timeout

系统从数据库中删除一个不活跃的客户端时，生成此事件。

Client Update

系统在 HTTP 流量中检测到负载（即特定类型的内容，例如音频、视频或网页邮件）时，生成此事件。

DHCP: IP Address Changed

系统检测到主机 IP 地址因 DHCP 地址分配改变时，生成此事件。

DHCP: IP Address Reassigned

主机重新使用 IP 地址时，生成此事件；即主机因 DHCP IP 地址分配获得另一物理主机以前使用的 IP 地址时。

跳数更改 (Hops Change)

Host Deleted: Host Limit Reached

在超过 Cisco Secure Firewall Management Center上的主机限制并从网络映射删除一台受监控主机时，会发生此事件。

主机已丢弃：已达到主机限制 (Host Dropped: Host Limit Reached)

在达到 Cisco Secure Firewall Management Center上的主机限制并丢弃一台新主机时，会发生此事件。对比此事件与达到主机上限时旧主机从网络映射中被删除的先前事件。

要在达到主机限制时丢弃新主机，请转至策略 > 网络发现 > 高级并将达到主机限制时设为丢弃主机。

主机 IOC 设置 (Host IOC Set)

为主机设置 IOC（危害表现）时生成此事件并生成警报。

Host Timeout

主机由于未在网络发现策略规定的区间内发生流量，因而从网络映射中丢失时生成此事件。注意个别主机 IP 地址和 MAC 地址会单独超时；主机不会从网络映射中消失除非其所有关联地址均已超时。

如果更改了网络发现策略需监控的网络，可能需要从网络映射中手动删除旧主机，以免主机限制受到影响。

Host Type Changed to Network Device

系统检测到的主机实际上是网络设备时生成此事件。

Identity Conflict

系统检测到新服务器或操作系统标识与服务器或操作系统的当前活跃标识相冲突时生成此事件。

如果要通过重新扫描主机获取更新的有效标识数据来解析标识冲突，可使用标识冲突事件触发 Nmap 修复。

Identity Timeout

来自主动源的服务器或操作系统身份数据超时时，生成此事件。

如果要通过重新扫描主机获取更新的有效标识数据来刷新标识冲突，可使用标识冲突事件触发 Nmap 修复。

MAC Information Change

系统检测到与特定 MAC 地址或 TTL 值关联的信息发生变化时，生成此事件。

系统检测到主机经流量通过路由器时，经常发生此事件。虽然每台主机都有不同的 IP 地址，但它们似将都有与路由器关联的 MAC 地址。系统检测到与 IP 地址关联的实际 MAC 地址时，主机配置文件中 MAC 地址显示为粗体文本且在事件视图的事件说明中 MAC 地址显示为“检测到 ARP/DHCP”消息。TTL 可能会因为流量可能通过不同的路由器或者系统检测到主机的实际 MAC 地址而发生改变。

NETBIOS Name Change

系统检测到主机的 NetBIOS 名称改变时，生成此事件。只有有主机使用 NetBIOS 协议时才会生成此事件。

New Client

系统检测到新的客户端时，生成此事件。

注	要采集和存储客户数据用于分析，请确保网络发现策略的发现规则中启用应用检测。

New Host

系统检测到新主机在网络中运行时，生成此事件。

设备处理涉及新主机的 NetFlow 数据时，也可生成此事件。要在此情况下生成事件，请将管理 NetFlow 数据的网络发现规则配置为发现主机。

New Network Protocol

系统检测到主机使用新的网络协议（IP、ARP 等）通信时，生成此事件。

New OS

系统检测到主机适用新的操作系统或者主机操作系统发生变化时，生成此事件。

New TCP Port

系统检测到主机上有活跃的新 TCP 服务器端口（例如，SMTP 或网络服务使用的端口）时，生成此事件。此事件不用于识别应用协议或与其关联的服务器；此信息在 TCP 服务器信息更新事件中传输。

设备在处理涉及网络映射中已不存在的受监控网络中服务器的 NetFlow 数据时，也会生成此事件。要在此情况下生成事件，请将管理 NetFlow 数据的网络发现规则配置为发现应用。

New Transport Protocol

系统检测到主机使用新的传输协议（例如 TCP 或 UDP）通信时生成此事件。

New UDP Port

系统检测到主机上有新的 UDP 服务器端口时，生成此事件。

设备在处理涉及网络映射中已不存在的受监控网络中服务器的 NetFlow 数据时，也会生成此事件。要在此情况下生成事件，请将管理 NetFlow 数据的网络发现规则配置为发现应用。

TCP Port Closed

系统检测到在主机上的 TCP 端口关闭时生成此事件。

TCP Port Timeout

系统在系统网络发现策略规定的区域内未检测到来自 TCP 端口的活动时，生成此事件。

TCP Server Information Update

系统检测到主机上运行的已发现 TCP 服务器发生变化时，生成此事件。

如果 TCP 服务器已升级，则生成此事件。

UDP Port Closed

系统检测到主机上 UDP 端口关闭时，生成此事件。

UDP Port Timeout

系统在网络发现策略规定的区域内未检测到来自 UDP 端口的活动时，生成此事件。

UDP Server Information Update

系统检测到主机上运行的已发现 UDP 服务器发生变化时，生成此事件。

如果 UDP 服务器已升级，则生成此事件。

VLAN Tag Information Update

系统检测到主机的 VLAN 标签发生改变时，生成此事件。

查看发现事件表时，Event 列中列出事件类型。

对比用户执行特定操作（例如手动添加主机）时生成的主机输入事件与系统自身检测到受监控网络发生变化（例如来自之前未检测到主机的流量）时生成的发现事件。

可通过修改网络发现策略配置主机输入事件的类型。

如果了解了不同类型主机输入事件所提供的信息，可以更有效地确定需记录和警报的事件以及如何在关联策略中使用这些警报。此外，了解事件类型的名称有助于更有效地进行事件搜索。不同类型的主机输入事件的说明如下。

添加客户端

用户添加客户端时，生成此事件。

添加主机

用户添加主机时，生成此事件。

添加协议

用户添加协议时，生成此事件。

添加扫描结果

系统成功将 Nmap 扫描的结果添加到主机时，生成此事件。

添加端口

用户添加服务器端口时，生成此事件。

删除客户端

用户从系统中删除客户端时，生成此事件。

删除主机/网络

用户从系统中删除 IP 地址或子网时，生成此事件。

删除协议

用户从系统中删除协议时，生成此事件。

删除端口

用户从系统中删除服务器端口或服务器端口组时，生成此事件。

主机属性添加 (Host Attribute Add)

用户创建新的主机属性时，生成此事件。

主机属性删除 (Host Attribute Delete)

用户删除自定义主机属性时，生成此事件。

主机属性删除值

用户删除主机属性赋值值时，生成此事件。

主机属性设置值

用户设置为主机设置主机属性值时，生成此事件。

主机属性更新 (Host Attribute Update)

用户改变自定义主机属性的定义时，生成此事件。

设置主机重要性

用户设置或修改主机的主机重要性时，生成此事件。

设置操作系统定义

用户设置主机的操作系统时，生成此事件。

设置服务器定义

用户设置服务器的供应商和版本定义时，生成此事件。

设置漏洞影响限定条件 (Set Vulnerability Impact Qualification)

设置漏洞影响限定条件时，生成此事件。

在全局层面上禁止漏洞用于影响限制，或者在全局层面上禁用漏洞时，生成此事件。

设置的漏洞无效

用户作废（或审查）一个漏洞或多个漏洞时，生成此事件。

设置的漏洞有效

用户作废之前标记为无效的漏洞时，生成此事件。

可在以下发现事件表中查看和搜索的字段的说明。

时间

系统生成事件的时间。

事件

发现事件的类型或主机输入事件的类型。

IP 地址

与事件所涉及主机相关的 IP 地址。

用户

事件生成前登录到事件所涉及的主机的最后一名用户。如果授权用户登录后只有未授权用户登录，除非其他授权用户登录，否则此授权用户仍是主机的当前用户。

MAC 地址

触发发现事件的网络流量所使用 NIC 的 MAC 地址。MAC 地址可以是事件所涉及的主机的实际 MAC 地址或者是有流量通过的网络设备的 MAC 地址。

MAC 供应商 (MAC Vendor)

触发发现事件的网络流量所使用 NIC 的 MAC 硬件供应商。

搜索此字段时，请输入 virtual_mac_vendor 以匹配涉及虚拟主机的事件。

端口

如适用，是指触发此事件的流量所使用的端口。

说明

事件的文字说明。

域

发现主机的设备的域。 仅当曾经配置 Cisco Secure Firewall Management Center以实现多租户时，此字段才存在。

设备

生成事件的受管设备的名称。对于基于 NetFlow 数据的新主机和新服务器事件，此设备是处理数据的受管设备。

系统发现主机时，会采集有关此主机的数据。该数据可能包括主机的 IP 地址、其运行的操作系统等等。可在主机表视图中查看部分该信息。

可以在下面的主机表中查看和搜索的字段说明。

上次查看时间

系统最后检测到的任何主机 IP 地址的日期和时间。至少应按网络发现策略中配置的更新间隔更新“上次查看时间”(Last Seen) 值，另外当系统为任何主机 IP 地址生成新的主机事件时，也要执行该更新。

对于使用主机输入功能更新操作系统数据的主机，“上次查看时间”(Last Seen) 值表示最初添加数据的日期和时间。

IP 地址

与主机关联的 IP 地址。

MAC 地址

检测到的主机 NIC 的 MAC 地址。

“MAC 地址”(MAC Address) 字段显示在主机表视图中，该视图可在主机工作流程中找到。也可将“MAC 地址”(MAC Address) 字段添加到：

• 包括来自主机表的字段的自定义表

• 基于主机表的自定义工作流程中的向下展开页面

MAC 供应商 (MAC Vendor)

检测到的主机 NIC 的 MAC 硬件供应商。

“MAC 供应商”(MAC Vendor) 字段显示在主机表视图中，该视图可在主机工作流程中找到。也可将“MAC 供应商”(MAC Vendor) 字段添加到：

• 包括来自主机表的字段的自定义表

• 基于主机表的自定义工作流程中的向下展开页面

搜索此字段时，请输入 virtual_mac_vendor 以匹配涉及虚拟主机的事件。

当前用户 (Current User)

主机当前登录用户的用户身份（用户名）。

注意：当未授权用户登录主机时，该登录操作将记录在用户和主机历史记录中。如果没有授权用户与该主机相关联，则该主机的当前用户可能是非授权用户。但是，授权用户登录该主机后，只有另一授权用户登录才能改变当前用户。此外，主机的当前用户是非授权用户时，仍不能使用该用户进行用户控制。

主机重要性

分配给主机的用户指定的重要性值。

NetBIOS 名称 (NetBIOS Name)

主机的 NetBIOS 名称。只有运行 NetBIOS 协议的主机才有 NetBIOS 名称。

VLAN ID

主机使用的 VLAN ID。

跳数

逐一检测主机的设备的网络跳数。

主机类型 (Host Type)

主机的类型。可以为以下任意一种：主机、移动设备、破解移动设备、路由器、网桥、NAT 设备和负载均衡器。

系统用于区分网络设备的方法包括：

• 分析思科发现协议 (CDP) 消息，可识别网络设备及其类型（仅限思科设备）

• 检测生成树协议 (STP)，可将设备识别为交换机或网桥

• 检测多个使用相同 MAC 地址的主机，可识别属于路由器的 MAC 地址

• 检测客户端 TTL 值变化，或检测比典型启动时间变化更频繁的 TTL 值，可识别 NAT 设备和负载均衡器

如果设备未被识别为网络设备，则归类为主机。

搜索此字段中，请输入 !host 以搜索所有网络设备。

硬件

移动设备的硬件平台。

操作系统

以下项之一：

• 在主机上检测到的或使用 Nmap 或主机输入功能更新的操作系统（名称、供应商和版本）。

• 如果操作系统不匹配任何已知指纹，则为 unknown

• 如果系统尚未采集到足够的信息用于识别操作系统，则为 pending

如果系统检测到多个身份，这些身份将显示在逗号分隔列表中。

从控制面板上的“自定义分析”(Custom Analysis) 构件中调用主机事件视图时，此字段显示。它也是基于主机表的自定义表中的一个字段选项。

搜索此字段时，请输入 n/a 以包含操作系统尚未识别的主机。

操作系统冲突

此字段仅供搜索。

操作系统供应商

以下项之一：

• 主机上检测到的或使用 Nmap 或主机输入功能升级的操作系统的供应商。

• 如果操作系统不匹配任何已知指纹，则为 unknown

• 如果系统尚未采集到足够的信息用于识别操作系统，则为 pending

如果系统检测到多个供应商，这些供应商将显示在逗号分隔列表中。

搜索此字段时，请输入 n/a 以包含操作系统尚未识别的主机。

操作系统名称

以下项之一：

• 在主机上检测到的或使用 Nmap 或主机输入功能更新的操作系统。

• 如果操作系统不匹配任何已知指纹，则为 unknown

• 如果系统尚未采集到足够的信息用于识别操作系统，则为 pending

如果系统检测到多个名称，这些名称将显示在逗号分隔列表中。

搜索此字段时，请输入 n/a 以包含操作系统尚未识别的主机。

操作系统版本

以下项之一：

• 在主机上检测到的或使用 Nmap 或主机输入功能升级的操作系统的版本

• 如果操作系统不匹配任何已知指纹，则为 unknown

• 如果系统尚未采集到足够的信息用于识别操作系统，则为 pending

如果系统检测到多个版本，这些版本将显示在逗号分隔列表中。

搜索此字段时，请输入 n/a 以包含操作系统尚未识别的主机。

源类型

用于建立主机操作系统身份的源类型：

• 用户：user_name

• 应用：app_name

• 扫描工具：scanner_type（通过网络发现配置添加的 Nmap 或扫描工具）

• 对于系统检测到的操作系统，则为 Firepower

系统可能会从多个源协调数据，以确定操作系统的身份。

置信

以下项之一：

• 对于系统检测到的主机，指系统对在主机上运行的操作系统的身份的置信百分比

• 对于通过活跃源识别的操作系统，则为 100%，例如主机输入功能或 Nmap 扫描工具

• 对于系统不能确定操作系统身份的主机和根据 NetFlow 数据已添加到网络映射的主机，则为 unknown。

搜索此字段时，请输入 n/a 以包含根据 NetFlow 数据添加到网络映射的主机。

说明

注释主机属性的用户定义内容。

域

与主机关联的域。 仅当曾经配置 Cisco Secure Firewall Management Center以实现多租户时，此字段才存在。

设备

检测到流量的受管设备或者处理 NetFlow 或主机输入数据的设备。

如果此字段为空，则以下任一条件成立：

• 按照网络发现策略中的规定，由未明确监控主机所在网络的设备将该主机添加到网络映射中。

• 已使用主机输入功能成功添加该主机，但系统尚未检测到。

计数

与每行中所显示的信息匹配的事件数。仅在应用创建两个或多个相同行的限制后，才会显示此字段。

注意主机属性表不显示仅通过 MAC 地址识别的主机。

以下对主机属性表中可以查看和搜索的字段进行了说明。

IP 地址

与主机关联的 IP 地址。

当前用户 (Current User)

主机当前登录用户的用户身份（用户名）。

注意：当未授权用户登录主机时，该登录操作将记录在用户和主机历史记录中。如果没有授权用户与该主机相关联，则该主机的当前用户可能是非授权用户。但是，授权用户登录该主机后，只有另一授权用户登录才能改变当前用户。此外，主机的当前用户是非授权用户时，仍不能使用该用户进行用户控制。

主机重要性

用户赋予主机对于您所在企业的重要性。可在关联规则和策略中使用主机重要性，用于定制策略违规和对事件中所涉及主机重要性的响应。可分配低级、中级、高级或零级主机重要性。

说明

有关希望其他分析师查看的主机的信息。

所有用户定义的主机属性，包括符合 allow 名单规定的属性

用户定义的主机属性的值。主机属性表包括每个用户定义的主机属性的字段。

域

与主机关联的域。 仅当曾经配置 Cisco Secure Firewall Management Center以实现多租户时，此字段才存在。

计数

与每行中所显示的信息匹配的事件数。请注意，“计数”(Count) 字段仅在应用了创建两个或多个相同行的约束后才显示。

以下是主机或用户 IOC（危害表现）表中的字段。并非每个与 IOC 相关的表都包含所有字段。

IP 地址（查看主机 IOC 数据时）

与触发 IOC 的主机关联的 IP 地址。

用户（查看用户 IOC 数据时）

与触发 IOC 的事件关联的用户的用户名、领域和身份验证源。

类别

所指示危害类型的简要说明，例如 Malware Executed 或 Impact 1 Attack。

事件类型

与特定 IOC 关联的标识符，指触发该 IOC 的事件。

说明

对可能受到危害的主机的影响的说明，例如此主机可能受到远程控制 (This host may be under remote control) 或已针对此主机执行了恶意软件 (Malware has been executed on this host)。

首次查看时间/上次查看时间

触发 IOC 的事件首次/最近出现的日期与时间。

域

触发 IOC 的主机的域。 仅当曾经配置 Cisco Secure Firewall Management Center以实现多租户时，此字段才存在。

可以在下面的服务器表中查看和搜索的字段的说明。

上次使用时间

上次在网络上使用服务器的日期和时间或原先使用主机输入功能更新服务器的日期和时间。至少按网络发现策略中配置的更新间隔更新 Last Used 值，当系统检测到服务器信息更新时也更新该值。

IP 地址

与运行服务器的主机关联的 IP 地址。

端口

服务器运行所在端口。

协议

服务器使用的网络或传输协议。

应用协议

以下项之一：

• 服务器应用协议的名称。

• 如果系统由于多个原因之一无法肯定或否定地识别服务器，则为 pending。

• 如果系统无法根据已知服务器指纹识别服务器或者服务器通过主机输入进行添加但不包含应用协议，则为 unknown。

应用协议的类别、标记、风险或业务关联性 (Category、Tags、Risk or Business Relevance for Application Protocols)

已分配给应用协议的类别、标记、风险级别和业务关联性。这些过滤器可用于集中过滤特定数据集。

供应商

以下项之一：

• 系统、Nmap 或其他活跃源识别的服务器供应商或者使用主机输入功能指定的服务器供应商

• 如果系统无法根据已知服务器指纹识别其供应商或者服务器是使用 NetFlow 数据添加到网络映射的，则为空白。

版本

以下项之一：

• 系统、Nmap 或其他活跃源识别的服务器版本或者使用主机输入功能指定的服务器版本

• 如果系统无法根据已知服务器指纹识别其版本或者服务器是使用 NetFlow 数据添加至网络映射的，则为 blank。

Web 应用程序

基于系统在 HTTP 流量中检测到的负载内容的 Web 应用。注意，如果系统检测到 HTTP 应用协议，但无法检测到特定网络应用，则系统提供通用网络浏览名称。

Web 应用的类别、标记、风险或业务关联性 (Category、Tags、Risk or Business Relevance for Web Applications)

分配给 Web 应用的类别、标记、风险级别和业务关联性。这些过滤器可用于集中过滤特定数据集。

点击数

服务器被访问的次数。对于使用主机输入功能添加的服务器，此值始终为 0。

源类型

选择以下值之一：

• 用户：user_name

• 应用：app_name

• 扫描工具：scanner_type（通过网络发现配置添加的 Nmap 或扫描工具）

• 对于 Firepower 系统检测到的服务器，为 Firepower、Firepower Port Match 或 Firepower Pattern Match

• 对于使用 NetFlow 数据添加的服务器，为 NetFlow

域

运行服务器的主机的域。 仅当曾经配置 Cisco Secure Firewall Management Center以实现多租户时，此字段才存在。

设备

检测到流量的受管设备或者处理 NetFlow 或主机输入数据的设备。

当前用户 (Current User)

主机当前登录用户的用户身份（用户名）。

当非授权用户登录主机中时，该登录会记录在用户和主机历史记录中。如果没有授权用户与该主机相关联，则该主机的当前用户可能是非授权用户。但是，授权用户登录该主机后，只有另一授权用户登录才能改变当前用户。此外，主机的当前用户是非授权用户时，仍不能使用该用户进行用户控制。

计数

与每行中所显示的信息匹配的事件数。仅在应用创建两个或多个相同行的限制后，才会显示此字段。

系统检测已知客户端流量、应用协议或网络应用时，会记录有关该应用及运行该应用的主机的信息。

可在以下应用表中查看和搜索的字段说明。

应用

检测到的应用的名称。

IP 地址

与使用应用的主机关联的 IP 地址。

类型

应用类型：

应用协议

代表主机之间的通信。

客户端应用

代表主机上运行的软件。

Web 应用

代表 HTTP 流量的内容或所请求的 URL。

类别

说明应用的最基本功能的应用通用分类。每个应用至少属于一个类别。

标签

有关应用的附加信息。应用可以包括任何数量的标记，也可以没有标记。

风险

应用被用于可能违反组织安全策略之目的的可能性。应用风险的取值范围为“极低”(Very Low) 到“极高”(Very High)。

在应用协议风险、客户端风险和网络应用风险中，如适用，则是触发入侵事件的流量中检测到的三个风险中级别最高的风险。

业务相关性

应用被用于组织的企业运营中（而不是被用于娱乐目的）的可能性。应用的业务关联性的取值范围为“极低”(Very Low) 到“极高”(Very High)。

在应用协议业务相关性、客户端业务相关性和网络应用业务相关性中，如适用，则是触发入侵事件的流量中检测到的三个业务关联性中关联性最低的一个。

当前用户 (Current User)

主机当前登录用户的用户身份（用户名）。

注意：当未授权用户登录主机时，该登录操作将记录在用户和主机历史记录中。如果没有授权用户与该主机相关联，则该主机的当前用户可能是非授权用户。但是，授权用户登录该主机后，只有另一授权用户登录才能改变当前用户。此外，主机的当前用户是非授权用户时，仍不能使用该用户进行用户控制。

域

使用应用的主机的域。 仅当曾经配置 Cisco Secure Firewall Management Center以实现多租户时，此字段才存在。

计数

与每行中所显示的信息匹配的事件数。请注意，“计数”(Count) 字段仅在应用了创建两个或多个相同行的约束后才显示。

系统检测已知客户端流量、应用协议或网络应用时，会记录有关该应用及运行该应用的主机的信息。

可在以下应用详细信息表中查看和搜索的字段的说明。

上次使用时间 (Last Used)

最后一次使用该应用的时间或使用主机输入功能更新该应用数据的时间。至少按网络发现策略中配置的更新间隔更新“上次使用时间”(Last Used) 的值，当系统检测到应用信息更新时也更新该值。

IP 地址

与使用应用的主机关联的 IP 地址。

客户端

应用的名称。请注意，如果系统检测到应用协议但检测不到特定客户端，则会向应用协议名称中附加 client 以提供通用名称。

版本

应用的版本。

客户端、应用协议以及 Web 应用的类别、标记、风险或业务关联性

分配给应用的分类、标记、风险级别和业务相关性。这些过滤器可用于集中过滤特定数据集。

应用协议

应用所使用的应用协议。请注意，如果系统检测到应用协议但检测不到特定客户端，则会向应用协议名称中附加 client 以提供通用名称。

Web 应用程序

基于系统在 HTTP 流量中检测到的负载内容或 URL 的 Web 应用。请注意，如果系统检测到 HTTP 应用协议，但无法检测到特定网络应用，系统会在此处提供通用的 网络浏览应用。

点击数

系统检测到在使用的应用的次数。对于使用主机输入功能添加的应用，此值始终为 0。

域

使用应用的主机的域。 仅当曾经配置 Cisco Secure Firewall Management Center以实现多租户时，此字段才存在。

设备

生成发现事件的设备，包括应用详细信息。

当前用户 (Current User)

主机当前登录用户的用户身份（用户名）。

注意：当未授权用户登录主机时，该登录操作将记录在用户和主机历史记录中。如果没有授权用户与该主机相关联，则该主机的当前用户可能是非授权用户。但是，授权用户登录该主机后，只有另一授权用户登录才能改变当前用户。此外，主机的当前用户是非授权用户时，仍不能使用该用户进行用户控制。

计数

与每行中所显示的信息匹配的事件数。请注意，“计数”(Count) 字段仅在应用了创建两个或多个相同行的约束后才显示。

除非另有说明，否则这些字段显示在 分析 > 主机 > 漏洞下的所有页面上。

计数

与每行中所显示的信息匹配的事件数。请注意，“计数”(Count) 字段仅在应用了创建两个或多个相同行的约束后才显示。

CVE ID

与 MITRE 常见漏洞和披露 (CVE) 数据库 (https://cve.mitre.org/) 中的漏洞相关联的标识号。

要在国家漏洞数据库 (NVD) 中查看有关此漏洞的详细信息，请右键点击 CVE ID，然后选择 在 NVD 中查看说明。

发布日期

发布漏洞的日期。

说明

国家漏洞数据库 (NVD) 中漏洞的简要说明。

有关完整说明，请右键单击 CVE ID，然后选择 在 NVD 中查看说明 以查看国家漏洞数据库 (NVD) 中的详细信息。

影响

请参阅“漏洞影响”（下文）。

影响质量

此字段仅在“漏洞详细信息”页面上可用。

使用下拉列表启用或禁用漏洞。Cisco Secure Firewall Management Center忽略其影响相关性中的禁用漏洞。

此处指定的设置确定如何在整个系统范围内处理漏洞，而且该设置不限于从中选择该值的主机配置文件。

远程

指示漏洞是否可以远程利用 (TRUE/FALSE)。

严重性

国家漏洞数据库 (NVD) 中的基本分数和通用漏洞评分系统 (CVSS) 分数。

Snort ID

与 Snort ID (SID) 数据库中的漏洞相关联的标识号。也就是说，如果入侵规则能检测到利用特殊漏洞的网络流量，则此漏洞与入侵规则的 SID 关联。

请注意，一个漏洞可能与多个 SID（或根本不与 SID）关联。如果一个漏洞与多个 SID 关联，则每个 SID 在漏洞表中各占一行。

SVID

Firepower 系统用于跟踪漏洞的漏洞标识号。

要查看此漏洞的详细信息，请点击 视图（）。

漏洞影响/Impact

漏洞的严重性，等级从 0 级至 10 级，10 级最严重。

可以在第三方漏洞表中查看和搜索的字段说明如下。

漏洞来源 (Vulnerability Source)

第三方漏洞的来源，例如，QualysGuard 或 NeXpose。

漏洞 ID (Vulnerability ID)

与其源漏洞关联的 ID 编码。

IP 地址

与受漏洞影响主机关联的 IP 地址。

端口

如果漏洞与特定端口上运行的服务器关联，则为端口号。

Bugtraq ID

与 Bugtraq 数据库中漏洞关联的标别号。(http://www.securityfocus.com/bid/)

CVE ID

与 MITRE 常见漏洞和披露 (CVE) 数据库 (https://cve.mitre.org/) 中的漏洞相关联的标识号。

SVID

系统用于跟踪漏洞的旧版漏洞标识号

点击 视图（） 以访问 SVID 的漏洞详情。

Snort ID

与 Snort ID (SID) 数据库中的漏洞相关联的标识号。也就是说，如果入侵规则能检测到利用特殊漏洞的网络流量，则此漏洞与入侵规则的 SID 关联。

请注意，一个漏洞可能与多个 SID（或根本不与 SID）关联。如果一个漏洞与多个 SID 关联，则每个 SID 在漏洞表中各占一行。

标题

漏洞的标题。

说明

漏洞的简要说明。

域

具有漏洞的主机的域。 仅当曾经配置 Cisco Secure Firewall Management Center以实现多租户时，此字段才存在。

计数

与每行中所显示的信息匹配的事件数。请注意，“计数”(Count) 字段仅在应用了创建两个或多个相同行的约束后才显示。

与用户相关的数据显示在活动会话表、用户表和用户活动表中。

分析 > 用户 > 活动会话工作流显示有关当前用户会话的特定信息。当您网络上的用户同时运行多个会话时，Firepower 系统可以唯一地标识符合以下条件的会话：

• 它们具有唯一的 IP 地址值。

• 根据思科终端服务 (TS) 代理提供的信息，它们具有唯一的起始端口和结束端口值。

• 它们具有唯一的当前 IP 域值。

• 它们通过不同的身份源进行身份验证。

• 它们与不同的身份领域相关联。

有关系统存储的用户和用户活动数据的详细信息，请参阅用户数据和用户活动数据。

有关常规用户相关事件故障排除和远程接入 VPN 故障排除的信息，请参阅领域和用户下载故障排除和 VPN 故障排除。

当身份源报告尚未包含在数据库中的用户的用户登录时，除非专门限制该登录类型，否则会将该用户添加到数据库中。

当出现以下情况之一时，系统会更新用户数据库：

• Firepower 管理中心上的用户从用户表中手动删除非授权用户。

• 某个身份源报告该用户已注销。

• 某个领域结束其用户会话超时：通过验证的用户、 用户会话超时：未通过验证的用户或 用户会话超时：访客用户设置指定的用户会话。

注	如果已配置 ISE/ISE-PIC，则您可能会在用户表中看到主机数据。由于并不完全支持由 ISE/ISE-PIC 进行的主机检测，所以不能使用 ISE 报告的主机数据执行用户控制。

系统检测到的用户登录类型确定存储的有关新用户的信息内容。

如果将领域配置为自动下载用户，则 Cisco Secure Firewall Management Center会根据指定的间隔查询服务器。系统检测到新用户登录后，Cisco Secure Firewall Management Center数据库可能需要五到十分钟的时间来使用用户元数据更新。Cisco Secure Firewall Management Center获取关于每个用户的以下信息和元数据：

• username

• 名字和姓氏

• 邮箱地址

• department

• telephone number

• 当前 IP 地址

• 安全组标记 (SGT)（如果可用）

• 终端配置文件（如果可用）

• 终端位置（如果可用）

• 开始端口（如果可用）

• 结束端口（如果可用）

Cisco Secure Firewall Management Center可在其数据库中存储的用户数取决于 Cisco Secure Firewall Management Center型号。当检测到未授权用户登录主机时，会在用户和主机历史记录中记录该登录。如果没有授权用户与该主机相关联，则该主机的当前用户可能是非授权用户。但是，检测至一个授权用户登录该主机后，只有另一授权用户登录才能改变当前用户。

请注意，对 AIM、Oracle 和 SIP 登录进行基于流量的检测会创建重复用户记录，因为它们不与系统从 LDAP 服务器获取的任何用户元数据关联。要防止由于这些协议中的用户记录重复而过度使用用户计数，请配置基于流量的检测以忽略这些协议。

可从数据库中搜索、查看和删除用户；也可从数据库中清除所有用户。

有关一般用户相关事件的故障排除信息，请参阅《Cisco Secure Firewall Management Center 设备配置指南》。