CPU 使用率（每个核心）

该模块检查所有内核的 CPU 使用率是否超载，并在 CPU 使用率超过为该模块配置的阈值时发出警报。警告阈值 ％ 默认值为 80。临界阈值 ％ 默认值为 90。

磁盘状态

该模块检测硬盘的性能和设备上的恶意软件存储包（如果已安装）。

当硬盘和 RAID 控制器（如果安装）存在发生故障的危险时，或者，如果安装的其他安装硬盘驱动器不是恶意软件包时，该模块生成“警告”(Warning)（黄色）运行状况警报。当无法检测到已安装恶意软件存储包时，该模块生成“警报”(Warning)（红色）运行状况警报。

磁盘使用情况

该模块将设备的硬盘驱动器 和恶意软件存储包 中的磁盘使用率与为该模块配置的限值进行对比，并在使用率超过为模块配置的阈值时发出警报。基于模块阈值，当系统删除过多的监控磁盘使用类别的文件，或者当这些类别以外的磁盘使用率达到过高级别时，该模块也发出警报。有关磁盘使用情况警报故障排除场景的信息，请参阅 磁盘使用率和事件消耗情况运行状况监控警报 。

使用磁盘使用率运行状况模块监控设备上的 / 和 /volume 分区的磁盘使用率并跟踪耗尽频率。尽管磁盘使用率模块将 /boot 分区列为监控分区，但是分区的大小是静态的，因此该模块在引导分区中不发出警报。

文件系统完整性检查

如果系统启用了 CC 模式或 UCAPL 模式，或者如果系统运行使用 DEV 密钥签名的映像，则此模块会执行文件系统完整性检查。默认情况下，该模块会被启用。

运行状况监视器流程

该模块监控运行状况监视器本身的状态，并且如果管理中心最后收到运行状况事件后的分钟数超过“警告”或“严重”限值，则发出警报。

接口状态

此模块确定设备当前是否收集流量并根据物理接口和汇聚接口的流量状态发出警报。对于物理接口，信息包括接口名称、链路状态和带宽。对汇聚接口，信息包括接口名称、活动链路的数量和总汇聚带宽。

本地恶意软件分析

该模块监控本地恶意软件分析的 ClamAV 更新。

内存使用率

该模块将设备的内存使用率与为模块配置的限值进行对比，并在使用率超过为该模块配置的级别时发出警报。

对于内存超过 4 GB 的设备而言，基于一个公式来预设警报阈值，该公式计算在可能导致系统问题的可用内存中所占的比例。在内存超过 4 GB 的设备上，因为“警告”和“严重”阈值之间的时间间隔可能非常短，所以建议您将警告阈值 % (Warning Threshold %)值手动设置为 50。这将进一步确保您及时收到设备的内存警报来解决问题。有关如何计算阈值的其他信息，请参阅 运行状况监控器警报的内存使用阈值 。

从版本 6.6.0 开始， management center virtual 升级到版本 6.6.0+ 所需的最低 RAM 为 28 GB， management center virtual 部署的建议 RAM 为 32 GB。我们建议您不要降低默认设置：为大多数 management center virtual 实例分配 32 GB RAM，为 management center virtual 300 分配 64 GB（仅限 VMware）。

复杂的访问控制策略和规则可控制重要资源并对性能产生不利影响。

进程状态

该模块确定设备上的进程是否在进程管理器外部退出或终止。

如果进程在进程管理器外部被故意退出，模块状态变更为“警告”(Warning)，并且运行状况事件消息指示哪一个进程被退出，直到该模块再次运行、该进程重新启动为止。如果进程在进程管理器外部异常终止或者崩溃，模块状态变更为“严重”(Critical)，并且运行状况事件消息指示被终止的进程，直到该模块再次运行、该进程重新启动为止。

设备中威胁数据更新

在 管理中心 ，设备用于检测威胁的某些情报数据和配置每 30 分钟会从云进行一次更新。

此模块会提醒您此信息在指定时间段内是否未在设备上更新。

监控的更新包括：

• 本地 URL 类别和信誉数据

• 安全情报 URL 列表和源，包括全局阻止列表和 不阻止 列表以及来自威胁情报导向器的 URL

• 安全情报网络列表和源 （IP 地址），包括全局阻止列表和 不阻止 列表以及来自威胁情报导向器的 IP 地址

• 安全情报 DNS 列表和源，包括全局阻止列表和 不阻止 列表以及来自威胁情报导向器的域。

• 本地恶意软件分析签名（来自 ClamAV）

• 如对象 > 对象管理 > 安全情报 > 网络列表和源页面上列出的来自威胁情报导向器的 SHA 列表

• 集成 (Integration) > AMP > 动态分析连接 (Dynamic Analysis Connections) 页面上配置的动态分析设置

• 与缓存 URL 到期相关的威胁配置设置，包括 集成 > 其他集成 > 云服务 页面上的缓存 URL 到期设置。（URL 缓存的更新不受此模块监控。）

• 用于发送事件的 Cisco 云的通信问题。请参阅 集成 > 其他集成 > 云服务 页面上的 Ciscco 云 框。

默认情况下，此模块会在 1 小时后发送警告，在 24 小时后发送严重警报。

如果此模块显示 管理中心或任何设备上发生故障，请验证 管理中心是否可以访问这些设备。

面向终端的 AMP 状态

如果 管理中心 在初始成功连接后无法连接到 AMP 云或 Cisco AMP 私有云，或者如果私有云无法联系公有 AMP 云，则该模块发出警报。如果您使用 Cisco Secure EndpointSecure Endpoint 管理控制台撤销注册 AMP 云连接，该模块也发出警报。

面向 Firepower 的 AMP 状态

如果发生以下情况，则该模块发出警报︰

• 管理中心 无法联系 AMP 云（公有或私有） 或 Secure Secure Malware Analytics 云或设备，或 AMP 私有云无法联系公有 AMP 云。

• 用于连接的加密密钥无效。

• 设备无法联系 Secure Secure Malware Analytics 云或 Secure Secure Malware Analytics 设备以提交进行动态分析的文件。

• 根据文件策略配置，在网络流量中检测到大量文件。

如果 管理中心 丢失与互联网的连接，则系统最多可能需要 30 分钟生成一个运行状况警报。

设备心跳

该模块确定设备是否正监听设备心跳并基于设备心跳状态发出警报。

数据库大小

此模块检查配置数据库的大小，并在大小超过为该模块配置的值（以千兆字节为单位）时发出警报。

发现主机限制

此模块确定 管理中心可以监控的主机数量是否即将达到限制，并基于为该模块配置的警告级别发出警报。有关详细信息，请参阅Firepower 系统主机限制。

事件积压状态

如果等待从设备传输到 管理中心的事件数据积压已持续增长超过 30 分钟，则该模块警报。

若要减少积压，请评估带宽并考虑减少记录的事件。

事件监控器

该模块监控整体事件传入 管理中心速率。

事件流状态

该模块监控管理使用 管理中心上事件流转换器的第三方客户端应用的连接。

ISE 连接监控

该模块监控 Cisco 身份服务引擎（ISE）和 管理中心之间的服务器连接状态。ISE 提供其他用户数据、设备类型数据、设备位置数据、SGT（安全组标记）和 SXP（安全交换协议）服务。

许可证监控

该模块监控许可证到期情况。

管理中心 高可用性状态

此模块会对 管理中心的高可用性状态进行监控和发出警报。如果尚未建立 管理中心高可用性，则 HA 状态为未设置高可用性。

MySQL 统计信息

此模块监控 MySQL 数据库的状态，包括数据库大小、活动连接数和内存使用情况。默认情况下已禁用。

RadiusMQ 状态

此模块收集 RabbitMQ 的各种统计信息。

RRD 服务器进程

该模块确定存储时序数据的轮询数据服务器是否正常运行。如果自上次 RRD 服务器更新后其重新启动，则该模块将发出警报；如果在 RRD 服务器重新启动后连续更新的次数达到模块配置中指定的次数，则该模块将输入“严重”或“警告”状态。

领域 (Realm)

允许为领域或用户不匹配设置警告阈值，包括：

• 用户不匹配：系统不下载某个用户而是报告给 管理中心 。

  造成用户不匹配通常是因为该用户属于不予下载至 管理中心。请回顾《Cisco Secure Firewall Management Center 设备配置指南》中介绍的信息。

• 领域不匹配：某个用户登录到某个域，而该域对应 管理中心未知的某个领域。

有关详细信息， 《Cisco Secure Firewall Management Center 设备配置指南》。

当您尝试下载的用户数超过每个领域支持的最大下载用户数时，此模块还会显示运行状况警报。单一领域下载用户的最大数目取决于您的管理中心型号。

有关详细信息，请参阅 《Cisco Secure Firewall Management Center 设备配置指南》中的 用户限制

安全情报

如果安全情报使用中且 管理中心无法更新源，或者源数据已损坏或不包含可识别的 IP 地址，该模块报警。

另请参阅设备上的威胁数据更新模块。

智能许可证监控

该模块监控智能许可状态和警报，如果：

• 智能许可证代理（智能代理）与智能软件管理器之间存在通信错误。

• 产品实例注册令牌已过期。

• 智能许可证使用情况不合规。

• 智能许可证授权或评估模式已过期。

Sybase 统计信息

该模块监控上 管理中心Sybase 数据库的状态，包括数据库大小、活动连接数和内存使用情况。

时序数据 (RRD) 监视器

该模块跟踪已损坏文件在存储时序数据（例如关联事件计数）的目录中的存在情况，并且在文件标记为已损坏和已移除时发出警报。

时间同步状态

该模块跟踪将 NTP 与 NTP 服务器上的时钟配合使用以获取时间的设备时钟的同步状态，并且在两个时钟的时间差超过十秒钟时发出警报。

未解析的组监控

监控策略中使用的未解析组。

URL 过滤监视器

如果 管理中心 未能成功完成以下操作，则此模块会发出警报：

• 注册 Cisco 云。

• 从 Cisoc 云下载 URL 威胁数据更新。

• 完成 URL 查找。

您可以配置这些警报的时间阈值。

另请参阅设备上的威胁数据更新模块。

VPN 状态

此模块在 威胁防御 设备之间的一个或多个 VPN 隧道关闭时发出警报。

此模块跟踪：

• 适用于 Cisco Secure Firewall Threat Defense的站点间 VPN

• 适用于 Cisco Secure Firewall Threat Defense的远程接入 VPN

AMP 连接状态

如果 威胁防御 在初始成功连接后无法连接到 AMP 云或 Cisco AMP 私有云，或者如果私有云无法联系公有 AMP 云，则该模块发出警报。默认情况下已禁用。

AMP Threat Grid 连接

在初始连接成功后，如果 威胁防御 无法连接到 AMP 威胁网格云，则模块警报。

ASP 丢弃

该模块监控数据平面加速安全路径所放弃的连接。

自动应用旁路

该模块监控绕过的检测应用。

机箱环境状态

此模块监控机箱参数（例如风扇速度和机箱温度），并允许您设置温度的警告阈值和临界阈值。 关键机箱温度（摄氏度） 默认值为 85。 警告机箱温度（摄氏度） 默认值为 75。

集群/HA 故障转移状态

该模块监控设备集群的状态。如果发生以下情况，则该模块发出警报︰

• 集群选举出新的主设备。

• 新的辅助设备会加入集群。

• 主设备或辅助设备会退出集群。

配置资源利用率

如果已部署的配置的大小使设备面临内存耗尽的风险，此模块会发出警报。

警报会显示您的配置需要多少内存，以及超出可用内存的数量。如果发生此情况，请重新评估您的配置。通常来说，您可以减少访问控制规则或入侵策略的数量或降低其复杂性。

Snort 内存分配

• 总 Snort 内存表示为 威胁防御 设备上运行的 Snort 2 实例分配的内存。

• 可用内存 表示系统为 Snort 2 实例分配的内存。请注意，此值不仅是 总 Snort 内存 与为其他模块保留的组合内存之间的差。此值经过几次其他计算后得出，然后除以 Snort 2 进程数。

  可用内存 值为负表示 Snort 2 实例没有足够的内存来部署配置。寻求支持，请联系 Cisco 技术支持中心 (TAC)。

连接统计信息

此模块监控连接统计信息和 NAT 转换计数。

数据平面 CPU 使用率

该模块检查设备上所有数据平面进程的平均 CPU 使用率是否超载，并在 CPU 使用率超过为该模块配置的百分比时发出警报。警告阈值 ％ 默认值为 80。临界阈值 ％ 默认值为 90。

Snort CPU 使用率

该模块检查设备上所有 Snort 进程的平均 CPU 使用率是否超载，并在 CPU 使用率超过为该模块配置的百分比时发出警报。警告阈值 ％ 默认值为 80。临界阈值 ％ 默认值为 90。

系统 CPU 使用率

该模块检查设备上所有系统进程的平均 CPU 使用率是否超载，并在 CPU 使用率超过为该模块配置的百分比时发出警报。警告阈值 ％ 默认值为 80。临界阈值 ％ 默认值为 90。

关键流程统计信息

该模块监控关键进程的状态、资源消耗和重新启动计数。

已部署配置统计信息

该模块监控有关已部署配置的统计信息，例如 ACE 数、IPS 规则数。

防火墙威胁防御平台故障

此模块为 Firepower1000、2100 和安全防火墙 设备生成平台故障警报。故障是由 管理中心管理的可变对象。每个故障表示 威胁防御 实例中的一个故障或已发出的警报阈值。在一个故障的生命周期中，故障可从一个状态或一种严重性更改为另一个状态或另一种严重性。

每个故障包含有关发生故障时受影响对象的运行状态的信息。如果故障是临时性的并已得到解决，则对象会转换到正常运行状态。

有关详细信息，请参阅 Cisco Firepower 1000/2100 FXOS 故障和错误消息指南。

管理中心 访问配置更改

该模块监控使用 配置网络管理-数据-接口 命令直接对 管理中心 设备执行的 FMC 访问配置更改

流分流统计信息

该模块监控受管设备的硬件流分流统计信息。

硬件告警

该模块确定物理受管设备上的硬件是否需要更换并基于硬件状态发出警报。该模块还报告与硬件有关的守护程序的状态。

内联链路不匹配告警

该模块监控与内联集相关的端口，并且如果内联对的两个接口协商不同的速度，则发出警报。

入侵和文件事件率

该模块将每秒钟入侵事件的数量与为该模块配置的限值进行对比。如果超过限值，则该模块发出警报。如果入侵和文件事件速率为零，则入侵进程可能已关闭或者受管设备可能没有发送事件。选择分析 > 入侵 > 事件，检查是否正从该设备接收事件。

通常，网段的事件速率平均为每秒 20 个事件。对于具有本平均速率的网段，每秒事件（严重）数应设置为 50，每秒事件（警告）数应该设置为30。要确定系统的限值，请在设备的“统计信息”页面（系统（） > 监控 > 统计信息）找到“事件/秒”值，然后使用以下公式计算限值：

• 每秒事件（严重）数 = “事件/秒”(Events/Sec) * 2.5

• 每秒事件（警告）数 = “事件/秒”(Events/Sec) * 1.5

您可以为每种限值设置的最大事件数是 999，“严重”(Critical) 限值必须高于“警告”(Warning) 限值。

链路状态传播

仅限于 ISA 3000。

该模块确定成对的内联集中链路发生故障的时间，并且触发链路状态传播模式。如果链路状态传播到该对，该模块的状态分类变更为“严重”，并且状态读作：

Module Link State Propagation: ethx_ethy is Triggered

其中 x 和 y 为成对的接口编号。

内存使用率数据平面

此模块检查数据平面进程使用的已分配内存百分比，并在内存使用率超过为该模块配置的百分比时发出警报。警告阈值 ％ 默认值为 80。临界阈值 ％ 默认值为 90。

Snort 的内存使用情况

此模块检查 Snort 进程使用的已分配内存百分比，并在内存使用率超过为该模块配置的百分比时发出警报。警告阈值 ％ 默认值为 80。临界阈值 ％ 默认值为 90。

网卡重置

该模块检查由于硬件故障而重新启动的网卡，并且在发生重置时发出警报。

NTP 统计信息

该模块监控受管设备的 NTP 时钟同步状态。默认情况下已禁用。

电源

该模块确定设备的电源是否需要更换，并基于电源状态发出警报。

路由统计信息

该模块监控路由表的当前状态。

Snort3 统计信息

该模块收集和监控 Snort 3 统计信息的事件，流和数据包。

Snort 身份内存使用情况

使您能够在内存使用率超过为模块配置的级别时为 Snort 身份处理和警报设置警告阈值。 临界阈值 ％ 默认值为 80。

此运行状况模块专门跟踪 Snort 中用于用户身份信息的总空间。它显示当前内存使用情况详细信息，用户到 IP 绑定的总数以及用户组映射详细信息。Snort 在文件中记录这些详细信息。如果内存使用情况文件不可用，则此模块的运行状况警报显示 等待数据。这可能发生在由于新安装或主要更新，从 Snort 2 切换到 Snort 3 或重新启动或主要策略部署而导致的 Snort 重启期间。根据运行状况监控周期以及当文件可用时，警告会消失，运行状况监控器会显示此模块的详细信息，其状态变为绿色。

Snort 重新配置检测

如果设备重新配置失败，则该模块发出警报。此模块检测到 Snort 2 和 Snort 3 实例的重新配置失败。

Snort 统计信息

该模块监控事件、流和数据包的 Snort 统计信息。

安全服务交换连接状态

在初始连接成功后，如果 威胁防御 无法连接到 SSE 云，则模块警报。默认情况下已禁用。

威胁防御 HA（裂脑检查）

此模块会对 威胁防御的高可用性状态进行监控和发出警报，并提供拆分情景的运行状况警报。如果尚未建立 威胁防御高可用性，则 HA 状态为未设置高可用性。

VPN 统计信息

此模块监控 威胁防御 设备之间的站点到站点和 RA VPN 隧道。

XTLS 计数器

该模块监控 XTLS/SSL 流、内存和缓存有效性。默认情况下已禁用。