防火墙报了 1080 条告警,分析完发现 88% 查不出是谁干的(2026 日志自查指南)
2026年8月17日
一家客户导出三天防火墙威胁日志1080条,问「这些要不要处理」。分析后的答案是:先别急,这批日志本身有三个问题让它几乎没法用——①88%的告警来源全指向自家内网网关(上游做了地址转换,真实来源被抹掉),按日志封IP等于封自己断全公司网 ②34.2%的动作是「仅告警」没拦,其中6条高危被放行,包括十秒内连打两个已公开漏洞的请求 ③数量排第一占29.3%的那类,是自家系统正常通信被误判、还被重复计了一遍。附正确的看日志顺序(先看动作列不是先看威胁等级)和五项自查清单。