| 价值 | 发现探测与违规访问的依据 |
|---|---|
| 问题 | 默认拒绝被公网扫描打爆，日志与设备负担重 |
| 手段 | 对已知噪音源单独处置，关键策略保持记录 |
治理思路
治理思路
1. 统计拒绝日志 TOP 来源与目的
2. 对持续扫描源：拉黑或单独策略处理
3. 保持对内网越权访问的拒绝记录
4. 定期复核抑制规则是否影响审计抑制的前提是分类清楚：宽泛关闭拒绝日志会同时丢掉真正的违规线索。
拒绝流量日志控制
拒绝日志对审计有价值，但被扫描时可能产生海量记录；按来源与频率做采样或抑制，保留关键拒绝事件。
易错点
- 为了省资源全部关掉拒绝日志，违规访问无迹可查
- 只拉黑不记录，无法回溯扫描来源
数据来源与参考
- 通用日志与审计实践
- 华为 USG6000 产品文档：策略日志