入侵防御事件

缺省情况下，启动每个波动信号时，Vulnerability Protection 趋势科技服务器深度安全防护系统管理中心会从 Vulnerability Protection 趋势科技服务器深度安全防护系统客户端/设备中收集防火墙和入侵防御事件日志。

Vulnerability Protection 趋势科技服务器深度安全防护系统管理中心收集事件日志后，会将这些事件日志保留一段时间，该时间可在管理 > 系统设置 > 存储中设置。缺省设置为一星期。

在主页面上可以执行下列操作：

• 查看 () 单个事件的属性
• 过滤列表：使用期间和计算机工具栏来过滤事件列表
• 将事件日志数据导出 () 为 CSV 文件
• 查看现有的自动标记 () 规则。
• 从“事件列表”视图中添加或删除列 ()。
• 搜索 () 特定事件

另外，右键单击事件可提供下列选项：

• 全选：选择显示的所有事件，最多 100 个事件。
• 将选定内容导出为 CSV：创建列出了选定事件的详细信息的逗号分隔的文件。然后可在电子表格中打开 CSV 文件。
• 查看：显示事件的详细信息
• 添加标记：为此事件添加事件标记（请参阅事件标记。）
• 移除标记：移除现有事件标记
• 计算机详细信息：查看生成日志条目的计算机的“详细信息”窗口

入侵防御事件显示的列：

• 时间：计算机上发生事件的时间。
• 计算机：记录此事件的计算机。（如果已移除此计算机，此条目会显示为“未知计算机”。）
• 原因：与此事件关联的入侵防御规则。
• 标记：附加到事件的任何标记。
• 应用程序类型：与引起此事件的入侵防御规则关联的应用程序类型。
• 操作：入侵防御规则采取的操作（阻止或重置）。如果规则处于仅检测模式下，则该操作的前缀为“仅检测:”）。
  在趋势科技服务器深度安全防护系统 7.5 SP1 之前创建的入侵防御规则还可以执行“插入”、“替换”和“删除”操作。现在不再执行这些操作。如果旧版规则被触发并尝试执行这些操作，事件将指示该规则是在“仅检测”模式下应用的。
• 排序：排序系统提供一种方法来量化入侵防御和防火墙事件的重要性。先为计算机分配“资产值”，并为入侵防御规则和防火墙规则分配“严重性值”，然后，将两个值相乘便可得出事件的重要性（“排序”）。这样，您在查看入侵防御或防火墙事件时，就可以按“排序”来排列事件的顺序。
• 严重性：入侵防御规则的严重性值。
• 方向：数据包的方向（传入或传出）
• 流：触发此事件的数据包按入侵防御规则监控的流量方向（“连接流”）还是按其反方向（“反向流”）进行传递。
• 接口：数据包所经过的接口的 MAC 地址。
• 帧类型：所需数据包的帧类型。可能的值有“IPV4”、“IPV6”、“ARP”、“REVARP”和“其他：XXXX”，其中 XXXX 代表帧类型的四位数十六进制码。
• 协议：可能的值有“ICMP”、“ICMPV6”、“IGMP”、“GGP”、“TCP”、“PUP”、“UDP”、“IDP”、“ND”、“RAW”、“TCP+UDP”、及“其他：nnn”，其中，nnn 代表三位数的十进制值。
• 标志：数据包中已设置的标志。
• 源 IP：数据包的源 IP。
• 源 MAC：数据包的源 MAC 地址。
• 源端口：数据包的源端口。
• 目标 IP：数据包的目标 IP 地址。
• 目标 MAC：数据包的目标 MAC 地址。
• 目标端口：数据包的目标端口。
• 数据包大小：数据包的大小（以字节为单位）。
• 重复计数：连续重复事件的次数。
• 时间 (微秒)：事件在计算机上的发生时间（微秒级）。
• 事件来源：事件源自的 Vulnerability Protection 趋势科技服务器深度安全防护系统组件。

查看事件属性

双击某个事件可显示该条目的属性窗口。标记选项卡显示已附加到此事件的标记。有关事件标记的更多信息，请参阅策略 > 通用对象 > 其他 > 标记，以及参考部分中的事件标记。

过滤列表和/或搜索事件

从“搜索”下拉菜单中选择“打开高级搜索”，可选择是否显示高级搜索选项。

使用期间工具栏可以过滤列表，从而只显示在特定时间范围内发生的事件。

使用计算机工具栏，可以按照计算机组或计算机策略来组织事件日志条目的显示。

高级搜索功能（搜索不区分大小写）：

• 包含：选定列中的条目包含该搜索字符串
• 不包含：选定列中的条目不包含该搜索字符串
• 等于：选定列中的条目完全符合该搜索字符串
• 不等于：选定列中的条目并不完全符合该搜索字符串
• 在范围内：选定列中的条目与其中的一个逗号分隔的搜索字符串条目完全匹配
• 不在范围内：选定列中的条目并未与任意逗号分隔的搜索字符串条目完全匹配

按搜索栏右侧的“加号”按钮 (+) 将显示另一个搜索栏，这样可将多个参数应用于搜索。准备就绪后，按“提交”按钮（位于工具栏右侧，带右向箭头）。

导出

单击导出... 按钮，可将所有事件日志条目导出为 CSV 文件。

自动标记

单击自动标记... 将显示现有入侵防御自动标记规则的列表。