策略有命中、有流量，但监控里看不到日志，这个问题通常有几个原因，我会和你一起按由简到繁的顺序排查一下。
1. 检查存储空间是否已满
T5030设备上分配给日志存储的总空间比较小，日志量大时很容易写满，新日志会无法存入，导致监控看不到。
排查步骤：进入 【系统 > 日志设置 > 基本配置 > 存储空间】，检查对应业务模块（如“威胁日志”）的存储空间是否已满。
解决方法：如果空间已满，可以考虑清理旧日志，或调整日志的存储策略。
2. 检查日志输出方向
这是最关键的一步。日志生成后，需要被正确地“送”到Web监控界面才能显示。
确认输出通道：Web界面通常从日志缓冲区（logbuffer） 读取日志。如果配置了日志快速输出到外部的日志服务器（loghost），日志可能就直接“绕过”了Web界面，导致本地看不到。
推荐排查方式：建议在命令行下执行
display logbuffer module ips。如果有输出，说明日志已正确生成并存在于缓冲区，问题就很可能出在Web界面的读取上。
3. 检查Web界面相关设置
如果命令行有日志，但Web界面看不到，很可能是下面几个原因：
时间设置错误：Web界面默认的日志查询时间范围若与日志实际产生时间不匹配，就看不到。可尝试将查询范围调大。
过滤条件不当：检查Web界面的日志筛选条件，如日志类型、等级是否勾选了“IPS”或“威胁日志”等类别。
相关功能未开启：检查是否遗漏了必要的命令或勾选。例如，攻击防范的日志记录功能
attack-defense logging enable默认是关闭的。同时，也要确保在Web界面的 【系统 > 日志设置 > 威胁日志】 中，已勾选“入侵防御日志”和“输出快速日志”。
4. 检查基础服务与权限
信息中心服务状态：确保信息中心（info-center）服务已开启，命令为
info-center enable。用户权限：确认登录Web界面的用户账号拥有
network-admin或context-admin等具备查看日志权限的角色。设备性能：检查CPU、内存、磁盘使用率是否过高，这可能导致日志处理延迟或丢弃。
尝试其他浏览器：有时浏览器缓存或插件也会导致显示问题，可以换个浏览器（如Chrome、Firefox）或使用无痕模式试试。
5. 其他功能检查
自定义日志：如果在策略中启用了自定义日志，请检查日志文件是否已配置好。
规则库更新：如果设备规则库过旧，可能无法识别新的威胁行为，导致没有日志产生。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论