| 必备字段 | 时间、设备、规则ID/名称、源/目的 IP 与端口、协议、动作、方向 |
|---|---|
| 加分字段 | 资产标签、威胁类别、严重级别、报文摘要 |
| 外发 | syslog 到日志平台或 SIEM |
检查清单
检查清单
1. 五元组完整可查
2. 规则 ID 可回溯到特征库条目
3. 动作字段区分告警/阻断
4. 时间与统一时钟同步告警日志与流量日志（NetFlow）联合分析，能更快判断事件影响面。
告警日志字段与内容
告警日志应包含五元组、命中规则、动作与时间；字段完整度决定研判与溯源效率。
易错点
- 日志里没有规则 ID 时，无法快速确认检测依据与影响范围
- 告警时间与系统时间不同步，跨设备关联分析失效
数据来源与参考
- RFC 5424（syslog 协议）
- 华为 USG6000 产品文档：威胁日志格式