SecPath F1090防火墙

1.检查安全策略内容安全是否调用防病毒配置文件

2.检查DPI模块是否激活

可以显示，但通常需要手动开启。SecPath F1090支持防病毒（AV）功能，并明确具备病毒日志和报表能力，可记录源IP、目的IP、病毒名称及动作等告警信息。如果看不到告警，原因通常是威胁日志默认未开启，需要先启用相关日志功能，并且只有流量命中病毒特征后才会产生记录。开启后，在Web界面的“日志 → 安全日志/威胁日志”中即可查看防病毒告警，并可按源IP进行筛选。命令行方式下，可使用 display threat-log 查看全部威胁日志，或用 display threat-log source-ip 192.168.1.10 按指定源IP过滤病毒告警。建议先确认防病毒功能和日志记录已启用，并确保病毒特征库为最新版本，命中后即可像深信服、锐捷防火墙一样看到基于IP的病毒告警详情。

你的安全策略是不是开启了av 然后对应的日志是否打开

1. F1090 具备 AV 防病毒检测能力，但前提条件
   • 需要导入AV 防病毒 License，无授权仅内置旧特征库，无法更新病毒库，也不会产生病毒威胁日志H3C。
   • 安全策略调用防病毒 Profile，Profile 里面开启日志记录；同时系统日志设置勾选威胁日志，才会生成病毒事件记录H3C。
   • HTTPS 流量要做 SSL 代理解密，否则无法检测加密流量里面的病毒载荷H3C。
2. 界面差异（和深信服、锐捷的主要区别）
   • F1090 本机 Web 没有专门的【中毒 IP 总览 / 终端病毒告警大盘】。病毒事件全部存放在监控‑安全日志‑威胁日志列表里，可以看到源 IP、目的 IP、病毒名称、处理动作，支持筛选、导出 Excel，但不会自动聚合出 “某 IP 病毒告警统计卡片”H3C。
   • 内置【威胁监控】组件，可以看到攻击者排行、威胁类型排行，只能做简单排行统计，做不到像友商那样直观展示哪个终端中毒的告警总览。
3. 想要实现友商那种 “按 IP 汇总病毒告警” 两种方案
   • 方案 A（推荐）：把威胁 syslog / 快速日志外发给CSAP 日志审计平台，由审计平台做日志聚合、按源 IP 统计病毒告警、告警弹窗；可以实现和友商类似的中毒终端视图。
   • 方案 B：导出 F1090 威胁日志 Excel，本地 Excel 筛选源 IP 做手工统计，适合临时排查。

常见排查点（很多现场没日志的原因）

1. 没有 AV 授权，防病毒功能未生效；
2. 安全策略没有引用防病毒 profile，或者 profile 里面没有勾选 “记录日志”；
3. HTTPS 流量未配置 SSL 代理，加密流量病毒检测不到；
4. 系统日志设置未开启威胁日志输出；
5. 硬盘故障 / 未安装硬盘，本地威胁日志存储容量受限。