型号支持

任意。

支持的域

任意

用户角色

• 管理员

• 安全分析师

每个主机配置文件均可提供有关检测到的主机或其他设备的基本信息。

主机配置文件中的每个基本字段的描述如下。

域

与主机关联的域。

IP 地址

所有与主机相关的 IP 地址（IPv4 和 IPv6）。系统检测与主机相关的 IP 地址，并且，如果支持的话，把同一主机使用的多个 IP 地址进行分组。IPv6 主机通常至少包含两个 IPv6 地址（纯本地和全局可路由），也可能包含 IPv4 地址。纯 IPv4 主机可拥有多个 IPv4 地址。

主机配置文件列出所有检测到的与该主机相关的 IP 地址。如可用，路由主机 IP 地址还包含一个表明与地址相关的地理位置数据的旗帜图标和国家代码。

请注意，默认情况下，仅显示前三个地址。点击全部显示 (show all) 显示主机的所有地址。

主机名

如果已知，为主机的完全限定域名。

NetBIOS 名称

如果可用，为主机的 NetBIOS 名称。为使用 NetBIOS 而配置的 Microsoft Windows 主机，以及 Macintosh、Linux 或其他平台都可以拥有一个 NetBIOS 名称。例如，配置为 Samba 服务器的 Linux 主机可拥有多个 NetBIOS 名称。

设备（跳数)

可以为以下任意一项：

• 根据网络发现策略中的定义，主机所在网络的报告设备，或者

• 处理将主机添加至网络映射的 NetFlow 数据的设备

检测到主机的设备与设备名称后面的主机之间的网络跳数（使用括号括起）。如果多台设备可以看见主机，则报告设备将以粗体显示。

如果此字段为空，则可能出现以下情况：

• 按照网络发现策略中的规定，由未明确监控主机所在网络的设备将该主机添加到网络映射中，或

• 已使用主机输入功能成功添加该主机，但系统尚未检测到。

MAC 地址 (TTL)

主机被检测到的一个或多个 MAC 地址和相关 NIC 供应商，括号中为 NIC 硬件供应商和当前生存时间 (TTL) 值。

如果有多台设备检测到主机，不管是哪台设备报告的地址，管理中心都会显示与主机相关的所有 MAC 地址和 TTL 值。

如果 MAC 地址以粗体显示，则 MAC 地址是系统通过 ARP 和 DHCP 流量检测到的主机的实际/真实/主 MAC 地址，通过 ARP 和 DHCP 流量检测与 IP 地址确定绑定。

未以粗体显示的 MAC 地址是辅助地址，无法与主机的 IP 地址明确关联。例如，由于 Firepower 设备只能为其自身网段上的主机获取 MAC 地址，如果流量来自 Firepower 设备未直接连接的网段，则观察到的 MAC 地址（即路由器 MAC 地址）将是显示为主机的辅助 MAC 地址。

主机类型

系统检测到的设备类型：主机、移动设备、越狱的移动设备、路由器、网桥、NAT 设备或负载均衡器。

系统用于区分网络设备的方法包括：

• 分析思科发现协议 (CDP) 消息，可识别网络设备及其类型（仅限思科设备）

• 检测生成树协议 (STP)，可将设备识别为交换机或网桥

• 检测多个使用相同 MAC 地址的主机，可识别属于路由器的 MAC 地址

• 检测客户端 TTL 值变化，或检测比典型启动时间变化更频繁的 TTL 值，可识别 NAT 设备和负载均衡器

• 系统用于区分移动设备的方法包括：

• 分析来自移动设备的移动浏览器的 HTTP 流量中的用户代理字符串

• 监控特定移动应用的 HTTP 流量

如果某一设备未被确定为网络设备或移动设备，则该设备将归类为主机。

上次查看时间

最后一次检测主机的 IP 地址的日期和时间。

当前用户

最近一次登录该主机的用户。

请注意，只有当现有当前用户不是授权用户时，登录主机的非授权用户才注册为当前用户。

查看

连接、发现、恶意软件和入侵事件数据视图链接，使用该事件类型的默认工作流程并仅限于显示与主机相关的事件；如果可能，这些事件包括与主机相关的所有 IP 地址。

通过分析流量中主机生成的网络和应用堆叠或分析用户代理报告的主机数据，系统可被动检测运行在主机上的操作系统的身份。此外，系统还将核对其他来源的操作系统信息，比如通过主机输入功能导入的 Nmap 扫描工具或应用数据。当确定将要使用的身份时，系统会考虑分配给每个身份源的优先级。默认情况下，用户输入具有最高优先级，其次是应用或扫描工具源，最后是所发现的身份。

有时候，系统会提供通用操作系统定义而非具体的定义，因为流量和其他身份源没有提供足够的信息来确定更具针对性的身份。系统将整理各种来源的信息，以尽可能利用最详细的定义。

由于操作系统会影响主机的漏洞列表以及针对主机的事件的事件影响关联，因此可能要手动提供更多具体的操作系统信息。此外，可表明已将修复（比如服务包和更新）应用到操作系统，并使修复已经解决的任何漏洞失效。

例如，如果系统确定主机的操作系统为 Microsoft Windows 2003，但主机实际上运行的是 Microsoft Windows XP Professional SP2，则可相应地设置操作系统身份。设置更具体的操作系统身份可以完善主机漏洞列表，以便该主机的影响关联更具针对性、更准确。

如果系统检测到的主机操作系统信息与由活动源提供的现有操作系统身份相冲突，则会发生身份冲突。当确实存在身份冲突时，系统将同时使用两种身份来表明漏洞和影响关联。

可以配置网络发现策略以将发现数据添加到受 NetFlow 导出器监控的主机的网络映射中。但是，除非设置主机输入功能来设置操作系统身份，否则没有可用于这些主机的操作系统数据。

如果主机运行的操作系统违反已激活的网络发现策略中的合规 allow 名单，则 管理中心 会利用 allow 名单 违规来标记操作系统信息。此外，如果越狱的移动设备违反有效的 allow 名单，该图标会出现在该设备的操作系统旁边。

可以为主机的操作系统身份设置自定义显示字符串。上述显示字符串随后用于主机配置文件中。

注	更改主机的操作系统信息可能会更改其与合规 allow 名单的合规情况。

在网络设备的主机配置文件中，“操作系统”(Operating Systems) 部分的标签更改为“系统”(Systems)，并会另外显示“硬件”(Hardware) 列。如果“系统”下列出了硬件平台值，则该系统代表在网络设备后检测到的一个或多个移动设备。请注意，移动设备可能有，也可能没有硬件平台信息，但不会检测到非移动设备系统的硬件平台信息。

主机配置文件中显示的操作系统信息字段说明如下。

硬件

移动设备的硬件平台。

操作系统供应商/供应商

操作系统供应商。

操作系统产品/产品

选择以下值之一：

• 根据从所有来源收集的身份数据确定为最可能在主机上运行的操作系统

• Pending，如果系统尚未识别操作系统，并且没有其他身份数据可用

• unknown，如果系统无法识别操作系统，并且没有其他身份数据可用于操作系统

注	如果主机的操作系统不是系统能够检测的系统，请参阅 《Cisco Secure Firewall Management Center 设备配置指南》 主机身份源 一章。

操作系统版本/版本

操作系统版本。如果主机是破解的移动设备，则版本后面的括号里会指示 Jailbroken。

来源

选择以下值之一：

• 用户：user_name

• 应用：app_name

• 扫描工具：scanner_type（Nmap 或其他扫描工具）

• FirePOWER

系统可能会从多个源协调数据，以确定操作系统的身份。

主机配置文件的“服务器”(Servers) 部分列出在受监控网络中的主机上检测到的服务器、从导出的 NetFlow 记录添加的服务器、或者通过主动源（如扫描工具）或主机输入功能添加的服务器。

列表中每台主机最多可包含 100 台服务器。达到限制后，不管是源自活动源或被动源的新服务器信息都会被删除，直到您从主机上删除服务器或服务器超时。

如果使用 Nmap 扫描主机，Nmap 会把此前未检测到的在开放 TCP 端口运行的服务器的结果添加至服务器列表。如果进行 Nmap 扫描或导入 Nmap 结果，可展开的“扫描结果”(Scan Results) 部分内容也会出现在主机配置文件中，列出 Nmap 扫描工具在主机上检测到的服务器信息。此外，如果从网络映射中删掉主机，主机服务器的 Nmap 扫描结果会被丢弃。

注	系统可以将主机从导出的 NetFlow 记录中添加到网络映射中，但是这些主机的可用信息是有限的；请参阅NetFlow 和受管设备数据之间的差异。

使用主机配置文件中的服务器的流程取决于访问文件的方式：

• 如果通过网络映射访问主机配置文件，会出现该服务器的详细信息，粗体高亮该服务器的名称。如果要查看主机上的任何其他服务器的详细信息，请点击服务器名称旁边的 视图（） 。

• 如果以任何其他方式访问主机配置文件，展开服务器部分并点击要查看详细信息的服务器旁边的 视图（） 。

注	如果主机正在运行的是违反经激活的关联策略中的合规 allow 名单的服务器，则 管理中心 会利用 allow 名单 违规来标记不合规的服务器。

服务器列表中的列说明如下。

协议

服务器所用协议名称。

端口

运行服务器的端口。

应用协议

以下任一项：

• 应用协议的名称

• 如果系统由于多个原因之一无法肯定或否定地识别应用协议，则为 pending

• 如果系统无法根据已知应用协议指纹识别应用协议或如果在没有添加相应服务器的情况下，通过主机输入功能添加具有端口信息的漏洞来添加服务器，则为 unknown

将鼠标悬停在应用协议名称上，会显示标记。

供应商和版本 (Vendor and Version)

由系统、Nmap 或其他主动源识别的或通过主机输入功能获得的供应商和版本。如果没有可用源提供任何识别信息，字段为空。

主机配置文件的“Web 应用”(Web Application) 部分显示系统识别为在您的网络主机上运行的客户端和 Web 应用。系统可同时从被动和主动检测源识别客户端和 Web 应用信息，但是从 NetFlow 记录添加的主机信息有限。

此部分的详细信息包含在主机上检测到的应用的产品和版本、任何可用客户端或 Web 应用信息，以及上一次检测到使用应用的时间。

此部分最多列出 16 个在主机上运行的客户端。在达到限制后，会丢弃来自主动或被动来源的新客户端信息，直到您从主机上删除客户端应用，或系统由于客户端闲置把客户端从主机配置文件中删除（客户端超时）。

此外，对于每个检测到的网络浏览器，系统会显示浏览器访问的前 100 个 Web 应用。在达到限制后，会丢弃来自主动或被动来源的与该浏览器相关的新 Web 应用，直到出现下列任何一种情况：

• 网络浏览器客户端应用超时，或

• 从主机配置文件删除与 Web 应用相关的应用信息

如果主机正在运行的是违反经激活的关联策略中的合规 allow 名单的应用，则 Firepower 管理中心会利用 allow 名单 违规来标记不合规的应用。

提示	要分析与主机上特定应用相关的连接事件，请点击该应用旁边的 日志记录（） 。系统将显示连接事件首选工作流程的首页，该页面显示受应用的类型、产品和版本，以及主机的 IP 地址限制的连接事件。如果连接事件没有首选工作流程，必须选择一个首选工作流程。

下面介绍主机配置文件中显示的应用信息。

应用协议

显示应用（HTTP 浏览器、DNS 客户端等等）所使用的应用协议。

客户端

来源于负载的客户端信息，由 Firepower 系统识别、由 Nmap 捕获、或通过主机输入功能获得。如果没有可用源提供任何识别信息，字段为空。

版本

显示客户端版本。

Web 应用

对于网络浏览器，为系统在 http 流量中检测到的内容。Web 应用信息表示由 Firepower 系统识别、由 Nmap 捕获、或通过主机输入功能获得的特定类型的内容（例如，WMV 或 QuickTime）。如果没有可用源提供任何识别信息，字段为空。

每个主机配置文件都包含在网络流量中检测到的与主机关联的协议有关的信息。此信息包括：

协议

指主机使用的协议的名称。

层

指协议运行的网络层（Network 或 Transport）。

如果主机配置文件中显示的协议违反经激活的关联策略中的合规 allow 名单，则 管理中心 会利用 allow 名单 违规来标记不符合规定的协议。

如果主机配置文件列出您已知不在该主机上运行的协议，则可以删除那些协议。从主机上删除协议可让主机符合合规 allow 名单。

注	如果系统再次检测到协议，系统会将该协议重新添加至网络映射和主机配置文件。

系统将各种类型的数据（入侵事件、安全情报、连接事件及文件或恶意软件事件）进行关联，以确定受监控网络上的主机是否可能受到恶意手段的危害。事件数据的某些组合和频率触发了受影响主机上的危害表现 (IOC) 标记。

主机配置文件中的“危害表现”部分将显示主机的所有危害表现标记。

要配置系统以标记危害表现，请参阅 《Cisco Secure Firewall Management Center 设备配置指南》中的 妥协规则的启用指示 。

有关使用危害表现的详细信息，请参阅危害表现数据和相应主题下的子主题。

如果主机构成虚拟局域网 (VLAN) 的一部分，系统会显示主机配置文件的 VLAN Tag 部分。

物理网络设备通常使用 VLAN 从各种网络块创建逻辑网段。系统检测到 802.1q VLAN 标记并显示每个标记的下列信息：

• VLAN ID 标识主机所属的 VLAN。对于 802.1q VLAN，它可以是介于 0 至 4095 之间的任何整数。

• 类型 (Type) 标识包含 VLAN 标记的封装包，可以是以太网或令牌环。

• 优先级 (Priority) 标识在 VLAN 标记中的优先级，可以是 0 至 7 之间的任何一个整数，其中 7 表示最高优先级。

如果 VLAN 标记嵌套在数据包中，系统进行处理，且管理中心显示最里面的 VLAN 标记。系统仅收集并显示其通过 ARP 和 DHCP 流量识别的 MAC 地址的 VLAN 标记信息。

例如，在一个全部由打印机构成的 VLAN 中，并且系统在该 VLAN 中检测到 Microsoft Windows 2000 操作系统，VLAN 标记信息是有用的。此外，VLAN 信息帮助系统生成更准确的网络映射。

合规 allow 名单 （或 allow 名单）指允许用户指定可在特定子网上运行的操作系统、应用协议、客户端、网络应用和协议的一系列标准。

如果在活动关联策略中添加 an allow 名单，系统检测到主机违反 allow 名单时， 管理中心 会将 an allow 名单事件（一种特殊类型的关联活动）记入数据库。这些 allow 名单事件中的任何一个事件都对应一种 an allow 名单违规，表明特定主机违反 allow 名单的原因和方式。如果主机违反一个或多个 allow 名单，可以两种方式查看其主机配置文件中的这些违规情况。

首先，主机配置文件列出与主机相关的单个 allow 名单违规事项。

主机配置文件中的 allow 名单违规信息的说明如下。

类型

违规类型，即违规是由于操作系统、应用、服务器还是协议不符合规定造成的。

原因

出现违规的具体原因。例如，如果 an allow 名单仅容许 Microsoft Windows 主机，主机配置文件会显示当前运行在主机上的操作系统（比如，Linux Linux 2.4、2.6）

允许 名单

与违规关联的 allow 名单的名称。

注	您可以利用主机的配置文件为合规 allow 名单创建共享主机配置文件。

Most Recent Malware Detections 部分列出主机发送或接收恶意软件文件的最新恶意软件事件，最多 100 个。主机配置文件列出基于网络的恶意软件事件（恶意软件防护 生成的恶意软件事件）和基于终端的恶意软件事件（面向终端的 AMP 生成的恶意软件事件）。

如果主机涉及文件事件，且文件在回溯时被确定为恶意软件，在识别恶意软件开始后，恶意软件检测列表会显示传输文件的原始事件。当确定为恶意软件的文件在回溯时被确定为非恶意软件时，该列表不会再显示与该文件相关的恶意软件事件。例如，如果文件性质为 Malware，并且该性质更改为 Clean，则从主机配置文件中的恶意软件检测列表中移除针对该文件的事件。

在主机配置文件中查看恶意软件检测情况时，可通过点击 恶意软件以查看该主机的恶意软件事件。

对主机配置文件中“最新恶意软件检测”(Most Recent Malware Detections) 部分中各列的描述如下。

时间

事件生成的日期和时间。

对于文件在回溯时被确定为恶意软件的事件，请注意，这是指原始事件的时间而非确定恶意软件的时间。

主机角色 (Host Role)

主机在传输检测到的恶意软件中的角色，为发送方或接收方。请注意，对于面向终端的 AMP 生成的恶意软件事件（“基于终端的恶意软件事件”），主机扮演的角色始终是接收者。

威胁名称

被测恶意软件名称。

文件名

恶意软件文件的名称。

文件类型

文件类型，例如 PDF 或 MSEXE。

主机配置文件 Vulnerabilities 部分显示影响该主机的漏洞。这些漏洞基于系统在主机上检测到的操作系统、服务器和应用。

如果主机操作系统标识或主机上的一种应用协议存在标识冲突，系统会在冲突解决前显示这两种标识的漏洞。

对于从 NetFlow 数据添加到网络映射的主机，没有任何操作系统信息可用，因此，系统无法为涉及这些主机的入侵事件分配“易受攻击”（影响级别 1：红色）影响级别。在此情况下，请使用主机输入功能手动设置主机的操作系统身份。

流量通常不包括有关服务器供应商和版本的信息。默认情况下，系统并不映射此类流量的发送和接收主机的关联漏洞。但可配置系统以映射没有供应商或版本信息的特定应用协议的漏洞。

如果使用主机输入功能添加网络中主机的第三方漏洞信息，系统会额外显示“漏洞”部分。例如，如果导入从 QualysGuard 扫描工具获得的漏洞，系统上的主机配置文件将包含 QualysGuard Vulnerabilities 部分。对于第三方漏洞，主机配置文件中相应的“漏洞”(Vulnerabilities) 部分包含的信息仅限于用户使用主机输入功能导入漏洞数据时提供的信息。

您可把第三方漏洞与操作系统和应用协议关联起来，但不得关联客户端。有关导入第三方漏洞的信息，请参阅《Firepower 系统主机输入 API 指南》。

主机配置文件中“漏洞”(Vulnerabilities) 部分中各列的说明如下。

名称

漏洞名称。

远程

表明漏洞是否可以远程利用。如果该列为空，漏洞定义不包含此信息。

组件

与漏洞有关的操作系统、应用协议或客户端的名称。

端口

端口号，如果漏洞与在特定端口运行的应用协议相关。