威胁识别ATD系统日常故障咨询

问题2：近4日安全事件数为0

1. 威胁检测模块排查

   特征库更新：确认威胁情报库（如恶意IP库、病毒特征）为最新版本，过期库会导致检测失效。

   检测策略：检查威胁检测策略是否启用，动作是否包含日志记录（参考防火墙IPS策略案例中日志开关配置）。

   例外地址：查看是否存在误配置的IP信誉例外地址（`display ip-reputation exception`）。

2. 数据源分析

   联动设备影响：若ATD与防火墙联动，确认防火墙是否正常发送流量日志（参考SMP平台日志缺失案例，排查格式/源IP匹配）。

   沙箱检测状态：检查文件检测模块（APT沙箱）是否运行正常，日志中断可能因服务异常或样本未触发。

3. 日志与抓包分析

   本地日志：检查ATD本地是否有攻击事件记录，排除平台展示异常。

   抓包验证：在流量口抓包，确认是否有攻击流量经过且未被放行（参考NGFW测试攻击案例）。

4. 技术支持

   收集诊断信息（配置、日志、抓包），H3C技术支持进一步分析。

补充说明

文件检测日志中断：可能与文件类型过滤或沙箱处理异常有关，检查文件传输策略及沙箱服务状态。

同步日志正常：确认日志审计平台接收的是原始流量日志，而非ATD处理后的威胁事件，两者数据源可能独立。

建议优先排查威胁检测策略与特征库更新，并验证数据源完整性。若仍未解决，需结合详细日志进一步分析。