AGC1050×1 行为管理 行为审计日志

日志跟特征库没关系的

只要开启了日志就会有记录，无非特征库不更新的话日志可能不准确

核心区分：特征库授权、实时流量识别、已经落地存储的历史日志，三者是独立的H3C。

1、特征库不续费，会不会没有行为审计日志？

1. 已经保存在硬盘上的旧历史日志不会自动删除，不受特征库授权过期影响。
2. 授权过期之后的新流量：旧特征库还在本地设备，老协议、老应用还可以识别审计；但新增的 APP、新域名、新型邮件协议识别会失效，新产生的流量识别不准，拿不到对应的审计日志H3C。

简单讲：过期不是直接完全不记日志，而是新的应用识别能力停止更新，新流量容易识别失败，导致部分新行为无日志；已经存盘的老日志还在硬盘里。

⚠️注意：审计日志生成还依赖两点：审计策略开启、设备内置硬盘正常；没有硬盘则本地不保存审计日志H3C。

2、刚续费特征库，能不能查询续费之前的邮箱访问记录？

满足 2 个条件就可以查到：

1. 当时（未续费阶段）邮件流量被识别出来，审计策略开启，日志已经成功写入 ACG 本地硬盘；
2. 硬盘没有因为磁盘占满自动滚动清理掉旧日志（ACG 磁盘到 90% 阈值，会自动删除最早一批日志）H3C。

限制：

• 假如过期阶段，该邮箱是新协议 / 新服务商，旧特征库识别不出来，当时就没有生成日志，现在续费也查不到，日志是当时流量实时生成，不能靠升级特征库回溯补生成过去的日志。
• 特征库升级只能提升对之后新流量的识别，不能反向补过去没识别成功的历史日志。

3、排查建议

1. 直接在审计日志‑邮件日志模块，筛选对应旧时间范围、IP，直接查询；
2. 如果查不到：
   • ①当时过期，该邮件应用识别失败，当时就未产生日志；
   • ②磁盘空间满，旧日志被自动滚动删除；
3. 重要审计建议：长期把审计日志通过 syslog 外送到独立日志服务器做归档，避免设备硬盘滚动删除历史记录。

简短总结

1. 特征库过期不会自动删除已经存下的历史审计日志；但新流量对新应用识别能力下降，会造成部分新行为审计日志缺失。
2. 续费特征库不能回溯补生成过去没有识别成功的日志；只有当时已经识别并写入硬盘的邮箱记录，续费后才可以查到。
3. 磁盘空间到达阈值设备会自动删除最早日志；重要日志建议 syslog 外送到第三方日志服务器保存。

结论是：特征库不续费，行为审计日志依然会记录，但新应用的识别会受影响；续费后能否查到以前的邮件记录，取决于当时日志是否成功生成并保留了下来。

特征库不续费，日志还会记录吗？

会记录，但记录内容的“质量”会下降。

特征库授权和日志审计是两个独立的功能模块。不续费主要影响的是应用识别的准确性，而不是日志记录功能本身。

• 历史日志不受影响：已经保存在设备硬盘上的旧日志不会因为特征库过期而被自动删除。

• 新流量记录能力下降：特征库过期后，设备仍然可以使用本地旧的识别库进行审计。但是，对于新出现的应用、新的域名或采用新型邮件协议的服务，旧特征库将无法识别，这些新流量可能就不会被正确记录为“邮件”应用，而是被归类为“未知应用”或“未分类”。

简单来说，特征库过期不是完全不记录日志，而是导致新的、未被识别的应用行为可能无法生成精确的审计日志。

续费后，能查到以前的邮件记录吗？

满足特定条件时可以查到，但无法“回溯补全”当时未生成的日志。

能否查询到未续费期间的邮件记录，取决于以下两个关键条件：

1. 当时日志是否已成功生成并存储：在特征库未续费期间，如果邮件流量被旧特征库成功识别为邮件应用，且审计策略处于开启状态，那么该记录就会被成功写入设备的本地硬盘。如果当时邮件协议较新，旧特征库无法识别，那么当时就不会生成邮件日志，现在也无法查到。

2. 日志是否被覆盖：设备硬盘的存储空间是有限的。当磁盘使用率达到一定阈值（例如90%），系统会自动删除最早的日志以释放空间。如果你要查询的旧日志在此时已被滚动删除，那么即使当时生成了，现在也查不到了。

需要特别注意的是，续费特征库只能提升对之后新流量的识别能力，无法反向补生成过去因识别失败而缺失的历史日志。

如何排查和查询历史邮件记录？

如果你现在要查询，可以尝试以下步骤：

1. 登录Web界面查询：进入 “日志中心 > 行为审计日志” 模块，将查询时间范围设定为特征库未续费的那段时期。

2. 不要只依赖“应用=邮件”筛选：由于当时可能识别失败，建议尝试使用更基础的条件进行过滤，例如：

   • 邮件服务器IP地址

   • URL关键字（如 mail.、smtp、imap）

   • 端口号（如 25、110、143、465、993、995）

3. 检查存储状态：确认设备硬盘空间是否已接近满载，判断旧日志是否有被自动删除的可能。