一家客户导出三天防火墙威胁日志1080条,问「这些要不要处置」。分析后的答案是:先别急,这批日志自身有三个问题让它险些没法用——①88%的告警起源全指向自家内网网关(上游做了地址转换,真事反源被抹掉),按日志封IP蹬宗封自己断全公司网 ②34.2%的作为是「仅告警」没拦,其中6条高危被放行,蕴含十秒内连打两个已公开缝隙的要求 ③数量排第一占29.3%的那类,是自家系统正常通讯被误庞注还被沉复计了一遍。附正确的看日志挨次(先看作为列不是先看威胁等级)和五项自查清单。