问

设备型号是SecPath F1070

路由策略

2025-08-12提问

0关注
0收藏，221浏览

zhiliao_rq8O3C

zhiliao_rq8O3C 零段

粉丝：0人关注：0人

问题描述：

看不到威胁日志，不知道做哪个策略

3 个回答

按时间按赞数

有飞不起的鸟

有飞不起的鸟七段

粉丝：12人关注：0人

. 确认威胁日志功能状态

# 检查日志功能是否启用
display info-center status | include Threat

# 查看威胁检测引擎状态
display threat-defense status

✅ 正常状态：Threat Defense: Enabled+ Logging Status: Active
❌ 问题状态：若显示Disabled需开启功能

2. 检查策略联动配置

威胁日志依赖安全策略触发检测：

# 查看安全策略（重点关注action inspect）
display security-policy rule name "您的策略名"

关键指标：

rule 0 name YOUR_POLICY  
  action: permit     # 必须为permit才能触发检测  
  policy: inspect    # 必须配置策略级检测!  
  service: ANY       # 或指定协议

🔧 解决方案（按优先级执行）

✅ 方案一：开启基础日志功能

# 进入系统视图
sys

# 启用威胁检测引擎
threat-defense enable

# 激活威胁日志
info-center source threat logfile level debugging
info-center logfile enable
threat-logging enable  # 关键命令！

✅ 方案二：配置策略级检测

# 创建或修改安全策略
security-policy ip
 rule 0 name THREAT_POLICY
  source-zone trust    # 按需修改源域
  destination-zone untrust
  action permit        # 必须是permit!
  policy inspect       # ★ 核心配置：启用流量检测
  service any          # 或指定协议

✅ 方案三：设置日志输出目标

# 输出到控制台（临时调试）
info-center console channel threat

# 输出到日志主机（推荐）
info-center loghost 192.168.1.100  # 日志服务器IP
info-center source threat channel 2 log level warning  # 指定威胁日志通道

# 保存配置
save force

⚠️ 高频故障点

特征库过期
display threat-defense signature version # 若显示"Expired"需更新： threat-defense signature update online
ASIC芯片资源耗尽
display cpu-usage | include "threat detection" # >80%时需优化策略： threat-defense policy global match-priority adjust high # 提升关键策略优先级
日志存储空间满
dir log:/ # 清理日志： reset logfile

📊 策略配置示例（办公上网场景）

security-policy ip
 rule 0 name OUTBOUND_INSPECT  # 出向流量检测策略
  source-zone trust  
  destination-zone untrust
  source-ip-subnet 192.168.10.0 255.255.255.0
  action permit
  policy inspect     # 核心：启用流量深度检测
  service any
  user any
rule 100 name DENY_ALL         # 缺省拒绝策略（系统自动生成）
  action deny

🛠️ 高级诊断命令

# 实时跟踪日志生成
terminal monitor
terminal logging
debugging threat-engine event  # 威胁检测调试

# 查看命中日志的策略
display threat-log buffer | include "Policy Name"

# 强制生成测试告警（制造ICMP攻击）
ping -c 1 10.1.1.100 size 2000  # 触发分片攻击检测