访问控制策略（系统日志：ACPolicy）

与启用了生成事件的入侵规则、预处理器规则或解码器规则的入侵策略相关联的访问控制策略。

访问控制规则 (系统日志： AccessControlRuleName)

调用生成事件的入侵策略的访问控制规则。Default Action 指示启用了规则的入侵政策未与特定访问控制规则相关联，而是配置为访问控制策略的默认操作。

如果存在以下情况，则此字段为空 （对于系统日志消息，则为省略） ：

• 无关联规则/默认操作：如果入侵检测未关联访问控制规则或默认操作，例如，例如数据包已经过默认入侵策略检查的情况，系统才会决定应用哪条入侵检测规则。（此策略在访问控制策略的“高级”选项卡中指定。）

• 无关联的连接事件：如果对会话记录的连接事件已从数据库中清除，例如连接事件的周转高于入侵事件的情况。

应用协议（系统日志：ApplicationProtocol）

表示在触发入侵事件的流量中检测到的主机之间的通信的应用协议（如果可用）。

应用协议类别和标记 (Application Protocol Category and Tag)

展示了应用特征的条件条件，协助您了解应用功能。

应用风险

与在触发入侵事件的流量中检测到的应用相关联的风险：“非常高”(Very High)、“高”(High)、“中”(Medium)、“低”(Low) 或“非常低”(Very Low)。在连接中检测的各种类型的应用都有相关的风险；此字段显示当中的最高风险。

业务相关性

与在触发入侵事件的流量中检测到的应用相关联的业务关联性：“非常高”(Very High)、“高”(High)、“中”(Medium)、“低”(Low) 或“非常低”(Very Low)。连接中检测的各类应用都有相关业务；此字段显示当中最低（相关性最小）的业务相关性。

分类 (系统日志：Classification)

生成事件的规则所属的分类。

请参阅 入侵事件详细信息中的可能分类值列表。

当搜索此字段时，请为生成要查看的事件的规则输入分类编号，或者全部或部分分类名称或说明。也可以输入编号、名称或描述的以逗号分隔列表。最后，如果添加自定义分类，还可以使用其完整或部分名称或描述进行搜索。

客户端（系统日志：Client）

客户端应用（如果有），代表在触发入侵事件的流量中检测到的受监控主机上运行的软件。

客户端类别和标记 (Client Category and Tag)

展示了应用特征的条件，协助您了解应用功能。

连接计数器 （仅限系统日志）

区分一个连接与另一个同时连接的计数器。此字段本身没有意义。

以下字段共同唯一地标识与特定入侵件事件相关的连接事件：DeviceUUID，第一个数据包时间，连接实例 ID 和连接计数器。

连接实例 ID （仅限系统日志）

处理连接事件的 Snort 实例。此字段本身没有意义。

以下字段共同唯一地标识与特定入侵件事件相关的连接事件：DeviceUUID，第一个数据包时间，连接实例 ID 和连接计数器。

计数

与每行中所显示的信息匹配的事件数。请注意，“计数”(Count) 字段仅在应用了创建两个或多个相同行的约束后才显示。此字段不可搜索。

CVE ID

此字段仅为搜索字段。

按与 MITRE 常见漏洞和披露 (CVE) 数据库 (https://cve.mitre.org/) 中漏洞相关联的标识号进行搜索。

目的地所在的大洲

入侵事件中涉及的接收主机所在的大洲。

目的地国家/地区

入侵事件中涉及的接收主机所在的国家/地区。

目标主机重要性

生成事件时的目标主机重要性（相应主机的“主机重要性”属性的值）。

请记住，当主机的重要性发生变化时，此字段不会更新。但是，新事件将具有新的重要性值。

目标 IP（系统日志：DstIP）

入侵事件中涉及的接收主机使用的 IP 地址。

另请参阅有关发起方/响应方，源/目标和发件人/接收方字段的说明。

目标端口/ICMP 代码（系统日志：DstPort、ICMPCode）

接收流量的主机的端口号。对于 ICMP 流量，在没有端口号的情况下，此字段显示 ICMP 代码。

目标用户

与连接事件的响应方 IP 关联的用户名。此主机可能是也可能不是接收漏洞攻击的主机。此值通常仅为您的网络中的用户所知。

。

另请参阅有关发起方/响应方，源/目标和发件人/接收方字段的说明。

设备

已部署访问控制策略的受管设备。

DeviceUUID （仅限系统日志）

生成事件的 Firepower 设备的唯一标识符。

以下字段共同唯一地标识与特定入侵件事件相关的连接事件：DeviceUUID，第一个数据包时间，连接实例 ID 和连接计数器。

域

检测到入侵的设备的域。 仅当曾经配置 管理中心以实现多租户时，此字段才存在。

出口接口（系统日志：EgressInterface）

触发事件的数据包的出口接口。对于被动接口，不填充此接口列。

出口安全区域（系统日志：EgressZone）

触发事件的数据包的出口安全区域。在被动部署中不填充此安全区域字段。

出口虚拟路由器

在使用虚拟路由的网络中，用于流量离开网络的虚拟路由器的名称。

电子邮件附件

提取自“MIME 内容性质”报头的 MIME 附件文件名。要显示附件文件名，必须启用 SMTP 预处理器的记录 MIME 附件名称 (Log MIME Attachment Names) 选项。支持多个附件文件名。

邮件报头

此字段仅为搜索字段。

提取自邮件报头的数据。

要将邮件报头与 SMTP 流量的入侵事件相关联，必须启用 SMTP 预处理器 Log Headers 选项。

邮件收件人 (Email Recipient)

提取自 SMTP RCPT TO 命令的邮件收件人的地址。要显示此字段的值，必须启用 SMTP 预处理器的记录收件人地址 (Log To Addresses) 选项。支持多个收件人地址。

邮件发件人 (Email Sender)

提取自 SMTP MAIL FROM 命令的邮件发件人的地址。要显示此字段的值，必须启用 SMTP 预处理器的记录发件人地址 (Log From Addresses) 选项。支持多个发件人地址。

第一个数据包时间 （仅限系统日志）

系统遇到第一个数据包的时间。

以下字段共同唯一地标识与特定入侵件事件相关的连接事件：DeviceUUID，第一个数据包时间，连接实例 ID 和连接计数器。

发电机

生成事件的组件。

另请参阅有关以下入侵事件字段的信息：GID、消息和 Snort ID。

GID（仅限系统日志）

生成器 ID；生成事件的组件 ID。

另请参阅有关以下入侵事件字段的信息：生成器、消息和 Snort ID。

HTTP 主机名 (HTTP Hostname)

提取自 HTTP 请求主机报头的主机名（如果有）。请注意，请求数据包并非总是包含主机名。

要将主机名与 HTTP 客户端流量的入侵事件相关联，必须启用 HTTP 检查预处理器 Log Hostname 选项。

在表视图中，此列显示提取的主机名的前 50 个字符。将光标悬停在缩写主机名的显示部分上可显示完整名称（最多包含 256 个字节）。还可以在数据包视图中显示完整主机名（最多包含 256 个字节）。

HTTP 响应代码（系统日志：HTTPResponse）

在对客户端的 HTTP 请求的响应中通过触发事件的连接发送的 HTTP 状态代码。

HTTP URI

与触发入侵事件的 HTTP 请求数据包相关的原始 URI（如果有）。请注意，请求数据包并非总是包含 URI。

要将 URI 与 HTTP 客户端流量的入侵事件相关联，必须启用 HTTP 检查预处理器 Log URI 选项。

要查看与 HTTP 响应触发的入侵事件相关的 HTTP URI，应配置 Perform Stream Reassembly on Both Ports 选项中的 HTTP 服务器端口；但请注意，这样会增加流量重组的资源需求。

此列显示提取的 URI 的前五十个字符。将光标悬停在缩写 URI 的显示部分上可显示完整 URI（最多包含 2048 个字节）。还可以在数据包视图中显示完整 URI（最多包含 2048 个字节）。

影响

此字段中的影响级别指示入侵数据、网络发现数据和漏洞信息之间的相关性。

当搜索此字段时，请勿指定影响图标颜色或部分字符串。例如，请勿使用 blue、level 1 或 0。不区分大小写的有效值为：

• 影响 0，影响级别 0

• 影响 1，影响级别 1

• 影响 2，影响级别 2

• 影响 3，影响级别 3

• 影响 4，影响级别 4

对于从 NetFlow 数据添加到网络映射的主机，没有任何操作系统信息可用，因此，系统无法为涉及这些主机的入侵事件分配“易受攻击”（影响级别 1：红色）影响级别。在此情况下，请使用主机输入功能手动设置主机的操作系统身份。

入口接口（系统日志：IngressInterface）

触发事件的数据包的入口接口。对于被动接口，仅填充此接口列。

入口安全区域（系统日志：IngressZone）

触发事件的数据包的入口安全区域或隧道区域。在被动部署中仅填充此安全区域字段。

入口虚拟路由器

在使用虚拟路由的网络中，用于流量进入网络的虚拟路由器的名称。

内联结果（系统日志：InlineResult）

在工作流程和表视图中，此字段显示以下其中一项：

表 1. 工作流程和表视图中的内联结果字段内容

此图标	表明
	系统已丢弃触发规则的数据包。
	如果已启用入侵策略选项 内联时丢弃 （在内联部署中），或在系统进行修建时“丢弃并生成”规则生成了该事件，那么 IPS 应该已丢弃该数据包。
	IPS 可能已将数据包传输或传送到目的地，但包含此数据包的连接现在已被阻止。
无图标（空）	触发的规则未设置为“丢弃并生成事件”

下表列出了内联结果的可能原因 - 已丢弃和部分丢弃。

无论入侵策略的规则状态或内联丢弃行为如何（包括当内联接口处于分流模式的情况），系统在被动部署中都不会丢弃数据包。

当搜索此字段时，请输入以下任一项：

• 已丢弃 用于指定在内联部署中是否丢弃数据包。

• 会丢弃 用于指定当入侵策略设置为在内联部署中丢弃数据包时是否已丢弃数据包。

• 部分丢弃 用于指定数据包是否已传输或传送到目的地，但包含此数据包的连接现在已被阻止。

入侵策略 （系统日志： IntrusionPolicy）

启用了生成事件的入侵规则、预处理器规则或解码器规则的入侵策略。可以选择入侵策略作为访问控制策略的默认操作，也可以将入侵策略与访问控制规则相关联。

IOC（系统日志：NumIOC）

触发入侵事件的流量是否也触发了危害表现 (IOC)。

当搜索此字段时，请指定 triggered 或 n/a。

消息（系统日志：Message）

事件的说明文本。对于基于规则的入侵事件，事件消息提取自规则。对于基于解码器和预处理器的事件，事件消息采用硬编码。

生成器和 Snort ID（GID 和 SID）与 SID 版本（修订版本）以冒号分隔的数字格式括于括号中（GID:SID:版本）附于其后。例如，(1:36330:2)。

MITRE

您可以点击以显示 MITRE 战术和层次结构中的技术的完整列表的模式计数。

MPLS 标签（系统日志：MPLS_Label）

与触发入侵事件的数据包相关联的多协议标签交换标签。

网络分析策略（系统日志：NAPPolicy）

与事件生成相关联的网络分析策略（如果有）。

此字段显示提取的 URI 的前五十个字符。将光标悬停在缩写 URI 的显示部分上可显示完整 URI（最多包含 2048 个字节）。还可以在数据包视图中显示完整 URI（最多包含 2048 个字节）。

原始客户端 IP

提取自 X-Forwarded-For (XFF)、True-Client-IP 或自定义的 HTTP 报头的原始客户端 IP 地址。

要显示此字段的值，必须在网络分析策略中启用 HTTP 预处理器的提取原始客户端 IP 地址 (Extract Original Client IP Address) 选项。或者，在网络分析策略的同一区域，还可以指定最多六个自定义客户端 IP 报头，并设置系统选择“原始客户端 IP 事件”(Original Client IP event) 字段值的优先顺序。

优先级（系统日志：Priority）

事件优先级由Talos 情报小组 确定。优先级对应于 priority 关键字的值或 classtype 关键字的值。对于其他入侵事件，优先级由解码器或预处理器决定。有效值为“高”(high)、“中”(medium) 和“低”(low)。

协议（系统日志：Protocol）

在 Cisco Secure Firewall Management Center Web 界面中，此字段仅为搜索字段。

连接中使用的传输协议的名称或编号，如 http://www.iana.org/assignments/protocol-numbers 中所列。这是与源端口和目标端口/ICMP 列相关的协议。

审核者 (Reviewed By)

审核事件的用户的名称。当搜索此字段时，可以输入 unreviewed 以搜索尚未审核的事件。

修订版本（仅限系统日志）

用于生成事件的签名的版本。

另请参阅有关以下入侵事件字段的信息：生成器、GID、消息、SID 和 Snort ID。

规则组

非 MITRE 规则组的计数，您可以点击该计数以调出模式，其中显示规则组的完整列表。

安全情景（系统日志：Context）

识别流量通过的虚拟防火墙组的元数据。系统仅对多情景模式下的 ASA FirePOWER 填充此字段。

SID（仅限系统日志）

生成事件的规则的签名 ID（亦称 Snort ID）。

另请参阅有关以下入侵事件字段的信息：生成器、GID、消息、修订版本和 Snort ID。

Snort ID

此字段仅为搜索字段。

（对于系统日志字段，请参阅 SID。）

在执行搜索时：指定生成事件的规则的 Snort ID (SID)，或者指定规则的生成器 ID (GID) 和 SID 组合，其中 GID 和 SID 使用冒号 (:) 隔开，格式为 GID:SID。可指定下表中的任何值：

您查看的事件的 SID 在“消息”(Message) 列中列出。有关详细信息，请参阅此部分中有关“消息”字段的说明。

源大洲

入侵事件中涉及的发送主机所在的大洲。

源国家/地区

入侵事件中涉及的发送主机所在的国家/地区。

源主机重要性

生成事件时的源主机重要性（相应主机的“主机重要性”属性的值）。

请记住，当主机的重要性发生变化时，此字段不会更新。但是，新事件将具有新的重要性值。

源 IP（系统日志：SrcIP）

入侵事件中涉及的发送主机使用的 IP 地址。

另请参阅有关发起方/响应方，源/目标和发件人/接收方字段的说明。

源端口/ICMP 类型（系统日志：SrcPort、ICMPType）

发送主机上的端口号。对于 ICMP 流量，在没有端口号的情况下，此字段显示 ICMP 类型。

源用户（系统日志：User）

与发起连接的主机（可能是也可能不是漏洞攻击的源主机）的 IP 地址相关联的用户名。此用户值通常只有您的网络上的用户知道。

如果适用，用户名前面会附加 <区域>\。

SSL 实际操作（系统日志：SSLActualAction）

在 Cisco Secure Firewall Management Center Web 界面中，此字段仅为搜索字段。

系统应用于已加密流量的操作：

阻止/阻止并重置

表示阻止的加密连接。

解密（重新签名）

表示使用重新签名的服务器证书解密的传出连接。

解密（替换密钥）

表示使用具有替代公钥的自签名服务器证书解密的传出连接。

解密（已知密钥）

表示使用已知私钥解密的传入连接。

默认操作

表示连接采用默认操作处理。

不解密

表示系统未解密的连接。

字段值显示在搜索工作流程页面上的 SSL 状态 (SSL Status) 字段中。

SSL 证书信息

此字段仅为搜索字段。

用于加密流量的公钥证书上存储的信息，包括：

• 使用者/颁发者公用名称

• 使用者/颁发者组织

• 使用者/颁发者单位

• 无效时间

• 序列号

• 证书指纹

• 公钥指纹

SSL 失败原因

此字段仅为搜索字段。

系统无法解密已加密流量的原因：

• 未知

• 不匹配

• 成功

• 未缓存的会话

• 未知加密套件

• 不受支持的加密套件

• 不支持的 SSL 版本

• 使用了 SSL 压缩

• 会话在被动模式下无法解密

• 握手错误

• 解密错误

• 挂起的服务器名称类别查找

• 挂起的公用名类别查找

• 内部错误 (Internal Error)

• 网络参数不可用

• 服务器证书处理无效

• 服务器证书指纹不可用

• 无法缓存使用者 DN

• 无法缓存颁发者 DN

• 未知的 SSL 版本

• 外部证书列表不可用

• 外部证书指纹不可用

• 内部证书列表无效

• 内部证书列表不可用

• 内部证书不可用

• 内部证书指纹不可用

• 服务器证书验证不可用

• 服务器证书验证失败

• 无效操作

字段值显示在搜索工作流程页面上的 SSL 状态 (SSL Status) 字段中。

SSL 状态

与记录加密连接的 SSL 实际操作 （解密规则、默认操作或无法解密的流量操作）关联的操作。

如果系统无法解密已加密连接，则其会显示所采取的 SSL 实际操作 (SSL Actual Action)（无法解密的流量操作）以及 SSL 失败原因 (SSL Failure Reason)。例如，如果系统检测到使用未知密码套件加密的流量并且未做进一步检查即允许了该流量，则此字段显示 Do Not Decrypt (Unknown Cipher Suite)。

点击 锁图标 可查看证书详细信息。

当搜索该字段时，请输入一个或多个 SSL 实际操作 (SSL Actual Action) 和 SSL 失败原因 (SSL Failure Reason) 值以查看系统处理或无法解密的已加密流量。

SSL 使用者/颁发者所在国家/地区

此字段仅为搜索字段。

与加密证书关联的使用者或颁发者所在国家/地区的双字符 ISO 3166-1 alpha-2 国家/地区代码。

时间

事件的日期和时间。此字段不可搜索。

VLAN ID（系统日志：VLAN_ID）

与触发入侵事件的数据包相关的最内部的 VLAN ID。

Web 应用（系统日志：WebApplication）

Web 应用，代表在触发入侵事件流量中检测到的 HTTP 流量的内容或请求的 URL。

如果系统检测到 HTTP 应用协议，但无法检测特定 Web 应用，则系统会另行提供通用 Web 浏览名称。

Web 应用类别和标记 (Web Application Category and Tag)

展示了应用特征的条件，以帮助您了解应用功能。

“入侵事件统计信息”(Intrusion Event Statistics) 页面的“主机统计信息”(Host Statistics) 部分提供有关设备本身的信息。在 Cisco Secure Firewall Management Center上，此部分还提供有关所有受管设备的信息。

这些信息包括以下内容：

时间

设备的当前时间。

正常运行时间

设备本身重新启动以来的天数、小时数和分钟数。在Cisco Secure Firewall Management Center上，Uptime 还显示每个受管设备上一次重新启动的时间、已登录用户数和平均负载。

磁盘使用情况

正使用的磁盘空间的百分比。

内存使用率

正使用的系统内存的百分比。

平均负载

过去 1 分钟、5 分钟和 15 分钟内 CPU 队列的平均进程数。

“入侵事件统计信息”(Intrusion Event Statistics) 页面的“事件概述”(Event Overview) 部分提供入侵事件数据库中信息的概述。

这些统计信息包括以下内容：

事件

入侵事件数据库中的事件数。

时间范围内的事件 (Events in Time Range)

当前选定的时间范围以及数据库中属于该时间范围的事件数量和所占百分比。

第一个事件 (First Event)

事件数据库中第一个事件的事件消息。

上一事件

事件数据库中最后一个事件的事件消息。

注	如果在 Cisco Secure Firewall Management Center上查看入侵事件数据时选择受管设备，将会转而显示该设备的“事件概述”部分。

“入侵事件统计信息”页面的“事件统计信息”部分提供有关入侵事件数据库中信息的更具体信息。

这些信息包括以下方面的详细信息：

• 前 10 大事件类型

• 前 10 大源 IP 地址

• 前 10 大目标 IP 地址

• 前 10 大目标端口

• 具有最大数量事件的协议、入口安全区域、出口安全区域和设备

注	在多域部署中，系统会为每个枝叶域构建单独的网络映射。因此，枝叶域可以包含这样一个 IP 地址，该地址在它的网络内是唯一的，但与另一枝叶域中的 IP 地址完全相同。在祖先域中查看事件统计信息时，系统可以展示该重复 IP 地址的多个实例。初看上去，似乎是重复条目。但是，如果向下展开到每个 IP 地址的主机配置数据，则系统会显示它们属于不同的枝叶域。

下表列出了可用的图表类型。请注意，如果图表类型填充的数据受网络分析策略 Inline Mode 设置影响，则图表类型显示会有所不同。如果禁用内联模式，Web 界面上标有星号 (*) 的图表类型（在下方列中列出 yes）会使用有关流量的数据进行填充；如果启用内联模式，则系统会修改或丢弃数据。