如果已在您的域上执行访问控制策略，则此步骤不为可选步骤。必须选择已执行的策略或其后代之一作为基本策略。

如果您选择基本策略，则基本策略定义默认操作，您无法在此对话框中选择新的操作。日志记录连接由基础策略的默认操作处理。

• Block all traffic 通过 Access Control: Block All Traffic 默认操作创建策略。

• 入侵防御 (Intrusion Prevention) 可以通过入侵防御：平衡安全性和连接 (Intrusion Prevention: Balanced Security and Connectivity) 默认操作创建策略，与默认入侵变量集相关联。

• Network Discovery 使用默认操作 Network Discovery Only 创建策略。

当您选择默认操作时，默认操作处理的连接的日志记录最初处于禁用状态。您可以稍后在编辑策略时启用它。

如果要立即部署此策略，则必须执行此步骤。

新策略将打开以供编辑。您可以向其添加规则，并根据需要进行其他更改。请参阅编辑访问控制策略。

如果显示视图 ()，则表明配置属于祖先域，或者您没有修改配置的权限。

您可以更改以下设置或执行以下操作：

• 名称和说明 - 点击名称旁边的编辑 ()，进行更改，然后点击保存。

• 默认操作和设置 - 从默认操作下拉列表中选择一个值，然后点击齿轮（ ），对设置进行更改并点击确定。有关详细信息，请参阅设置访问控制默认操作。

• 关联的策略 - 要编辑或更改数据包流中的策略，请点击策略名称下方数据包流表示中的策略类型。您可以选择 预处理规则、 解密、 安全智能和 身份 策略。必要时，点击访问控制 (Access Control) 以返回访问控制规则。

• 策略分配 - 要标识此策略的目标受管设备，或在子域中实施此策略，请点击已分配：x 设备链接。您可以将策略分配给设备或设备模板。

• 规则 - 要使用入侵和文件策略来管理访问控制规则，以及检查和阻止恶意流量，请点击添加规则 (Add Rule)，或右击现有规则并选择编辑 (Edit) 或其他响应操作。操作也可从每个规则的 更多 () 按钮获取。请参阅创建和编辑访问控制规则。

• 布局 - 使用规则列表上方的网格/表视图 (Grid/Table View) 图标更改布局。网格视图以易于查看的布局提供彩色编码的对象。表视图提供摘要列表，以便您可以同时查看更多规则。您可以在不影响规则的情况下自由切换视图。

• 列（仅限表视图）- 点击规则列表上方的显示/隐藏列图标，选择要在表中显示的信息。点击显示/隐藏空列以快速删除所有没有信息的列，即您不在任何规则中使用这些条件。点击恢复为默认值 (Revert to Default) 以撤消所有自定义设置。

• 分析规则逻辑 - 您可以从分析菜单中选择以下选项来检查规则的逻辑：

  • 管理规则命中计数 - 要查看每个规则的匹配连接数统计信息。请参阅查看规则命中计数。

  • 启用/禁用规则冲突-选择是否要查看有关规则是否相互干扰的信息。然后，您可以使用以下命令查看结果。请参阅分析规则冲突和警告

    • 显示警告和错误 - 查看是否存在需要解决配置问题的规则。

    • 显示策略警告 - 查看策略是否存在配置问题。

    • 显示规则冲突-查看是否有冗余或影子规则。这些冲突可能会阻止某些规则被连接匹配，这意味着您需要修复匹配条件、移动规则或直接删除规则。

• 其他设置 - 要更改策略的其他设置，请从数据包流末尾的更多下拉箭头中选择以下选项之一。

  • 加密可视性引擎 - 是否启用和配置加密可视性引擎。请参阅配置 EVE。

  • 高级设置 - 要设置预处理、解密、身份、性能及其他高级选项。请参阅为访问控制策略配置高级设置。

  • HTTP 响应 (HTTP Responses) - 要指定当系统阻止网站请求时用户在浏览器中看到的内容。请参阅选择 HTTP 响应页面。

  • 继承设置 (Inheritance Settings) - 更改此策略的基本访问控制策略，并在其后代策略中实施此策略的设置。请参阅选择基本访问控制策略和锁定后代访问控制策略中的设置。

  • 日志记录 (Logging) - 设置策略的默认日志记录选项。

在访问控制策略列表中：

• 策略名称旁的锁图标表示该策略已锁定。将鼠标悬停在该图标上即可查看哪个用户锁定了策略。

• 如果显示视图 ()，则表明配置属于祖先域，或者您没有修改配置的权限。 否则，它已被其他用户锁定。

如果策略从父策略继承了设置，则在点击锁定图标时必须选择以下选项之一。

• 锁定/解锁此策略 - 锁定或解锁仅适用于此策略。

• 锁定/解锁层次结构中的所有策略 - 锁定或解锁此策略和所有父策略。如果父策略已被其他管理员锁定，您将看到一条消息，并且无法锁定该父策略。解锁策略时，如果您具有“覆盖访问控制策略锁定”权限，则会解锁所有父策略，即使它们已被其他用户锁定。

编辑访问控制策略时，请查找页面顶部是否显示以下消息横幅：

User name is currently editing this policy.

此消息表明指定用户（可能有多个）当前已打开策略进行编辑。

以下横幅消息表示另一用户已保存更改，您需要立即采取措施：

User name modified this policy and saved changes. Merge Discard.

点击以下任一链接：

• 合并- 打开一个合并窗口，您可以在其中决定保留或放弃哪些更改，并识别无法合并的更改。采用此选项时，请参阅下一步。

• 放弃- 立即放弃所有更改并重新开始。如果选择此选项，页面会刷新，以显示其他用户的最新更改。

当您点击 合并 选项时，系统将打开一个合并窗口，其中汇总了观察到的您的编辑与上次用户保存的编辑之间的差异总数。不包括其他用户的未保存编辑。观察结果包括直接冲突和信息性通知。

有关这些选项的详细信息，请参阅访问控制策略默认操作。

你可以配置以下选项。完成后点击确定。

• 日志记录选项 - 是否记录连接。您可以在连接开始时记录、在连接结束时记录，或两者都选。如果您选择阻止作为默认操作，则只能在连接开始时进行记录。

• 将连接事件发送至 - 如果选择一个日志记录选项，请选择是否将事件发送至以下任意组合：

  • 防火墙管理中心 - 将事件发送到管理器。

  • 系统日志服务器 - 将事件发送到为策略配置的默认系统日志服务器。您可以配置覆盖以指定不同的严重性级别或系统日志服务器目标。

  （Splunk 或 SIEM 系统日志服务器集成）如果您已将 防火墙管理中心 配置为 Splunk 配置中的连接事件源，请选择 将连接事件发送至 选项下的 防火墙管理中心 。如果您已将Firewall Threat Defense配置为连接事件源，请选择至少一个系统日志目标。有关 Splunk 或任何 SIEM 系统日志配置程序，请参阅 Cisco Secure Firewall Management Center 管理指南。

• SNMP 陷阱 - 如果启用日志记录，则可以将 SNMP 陷阱发送到 SNMP 服务器。选择 SNMP 配置，或点击 + 配置新的配置。

• 默认操作变量集 - 如果选择了其中一种入侵防御默认操作，请选择应与所选入侵策略一起使用的变量集。

在受影响的设备下，系统会列出其分配的访问控制策略是当前策略子项的设备。对当前策略进行的任何更改都将影响这些设备。

如果显示视图 ()，则表明设置继承自祖先策略，或者您没有修改设置的权限。 如果配置已解锁，请取消选中从基本策略继承以启用编辑。

如果选择用户创建的策略，则可以点击显示的编辑图标来编辑策略。

如果您已运行分析，“异常”(Anomaly) 列会显示策略的问题数量和策略可以优化的百分比，以及策略分析的状态，例如“错误”(Error) 或“已完成”(Completed)。上次分析显示运行分析的日期/时间。

分析在云中作为后台进程运行。分析完成后，结果将显示在“异常”(Anomaly) 列中。

说明：

• 您还可以在编辑策略时通过选择分析 (Analyze) > 策略 (Policy) 来开始分析。该菜单中的其他选项允许您显示命中计数和警告。

• 如果您尚未连接到云，当您点击此按钮时，系统会打开一个说明性对话框，其中包含可帮助您开始的集成 (Integrate) 按钮。策略分析器和优化器仅在云中运行。

完成要执行的所有操作后，点击应用补救 (Apply Remediations)（在云中）。系统将向您显示要执行的操作的确认。点击继续 (Proceed) 以实施更改。

如果初始分析以错误结束，您可以点击重新分析 (Re-analyze) 以重新启动该过程。

如果您启用了变更管理，则审批者必须先批准包含补救措施的通知单，然后才能部署这些补救措施。

如果不是第一次为此设备生成命中计数，最后一次获取的命中计数信息将出现在下拉框旁边。此外，验证最新部署时间，以确认最新的策略更改。

选择全部以查看分配给该策略的所有设备的命中计数汇总。

在预过滤器策略中，您可能需要点击获取当前命中计数 (Fetch Current Hit Count)，获取初始命中计数数据。

您无法在部署到设备的过程中刷新命中计数。

可以执行以下操作：

• 点击预过滤器 (Prefilter) 或访问控制 (Access Control)，以便在这些策略的命中计数之间切换。

• 通过在过滤器框中输入搜索字符串来搜索特定规则。

• 通过在过滤条件 (Filter by) 字段中选择这些选项，将列表广泛地限制为命中规则 (Hit Rules) 或从不命中规则 (Never Hit Rules)。在查看命中规则时，您可以通过在最后时间 (In Last) 字段中选择一个时间范围（例如，最近 1 天）来进一步限制列表。

• （在从访问控制策略查看时。）通过选中规则的复选框，然后点击 清除命中计数，清除一个或多个规则的命中计数。确认操作时，选择 清除并重新加载 以刷新命中计数数据。一次最多可以清除 500 条规则的命中计数。您无法撤消清除命中计数。

  注	点击表信头中的复选框以选择列表中的所有规则。要选择一系列规则，请选中第一个规则的复选框，然后按住 Shift 键并点击最后一个规则的复选框；中间的所有规则也会被选中。

• （在从访问控制策略查看时。）您可以对单个规则执行以下操作：

  • 通过点击 更多 () 菜单中的 编辑 来编辑规则。

  • 通过点击 更多 () 菜单中的 删除 来从策略中删除规则。

  • 通过点击 更多 () 菜单中的 启用/禁用规则 来启用或禁用规则。

  • 通过点击 更多 () 菜单中的 清除命中计数 来清除规则的命中计数（将其重置为零）。您无法撤销此操作。

• （从预过滤器策略查看时。）通过点击 齿轮（ ） 并选择要显示的列来更改显示的列。

• （从预过滤器策略查看时。）点击规则名称以对其进行编辑，或点击最后一列中的 视图 () 以查看规则详细信息。点击规则名称会在策略页面中突出显示它，您可以在该页面中对规则进行编辑。

• （从预过滤器策略查看时。）通过右键点击规则并选择清除命中计数 (Clear Hit Count)，清除规则的命中计数信息（将其重置为零）。您可以使用 Ctrl+点击来选择多个规则。您无法撤销此操作。

• 通过点击页面左下角的生成 CSV (Generate CSV) 来生成页面详细信息的逗号分隔值报告。

• 要查看规则冲突，请点击分析 (Analyze) 下拉列表，然后点击启用规则冲突 (Enable Rule Conflicts)。分析完成后，您会在页面顶部看到冲突摘要。然后，从同一菜单中点击 显示规则冲突 以查看具体结果。

  每次进行打开策略或更改并保存策略时，都必须重新启用规则冲突检测。

• 要查看规则警告和错误，请点击分析 > 显示警告和错误。

  对策略进行更改后，您可以通过点击分析按钮旁边的重新加载图标来刷新结果。

• 要查看策略警告，请点击 分析 > 显示策略警告。

• 如果您已查看完规则冲突，请点击分析 (Analyze) > 禁用规则冲突 (Disable Rule Conflicts).

• 规则警告和错误会显示在与规则冲突分开的选项卡上。还有一个单独的选项卡用于显示策略警告。

• 每个选项卡都包含子选项卡，可让您检查各个类型的问题，例如冗余与阴影或警告与错误。此外，也可以搜索项目。

• 每个规则名称旁边的 更多 () 提供编辑、禁用或删除规则的快捷方式。

• 对于简单的文本字符串搜索，请键入字符串。搜索将返回在任何列中包含该字符串的规则。 不能将字符串搜索与标记搜索结合使用，例如将字符串搜索与源网络搜索结合使用。

• 要搜索特定的列，请开始键入列的名称，直到系统提示您输入全称，例如“源网络”，或选择可搜索字段的列表名称。在选择搜索标记后，即可输入该标记的搜索字符串。例如，源网络 10.1.1.1。

• 在源/目标列中搜索 IP 地址时（但不是作为简单的文本搜索），可以使用搜索内部子网和范围选项来控制是完全匹配 IP 地址（未选中）还是匹配包含搜索地址的任何子网或范围（选中）。例如，选中该选项后，搜索 10.1.1.1 将包含 10.1.1.0/24 的规则。

• 在端口字段中搜索仅会返回完全匹配项。

• 输入多个值时，请用逗号分隔这些值。

• 第一次搜索后，点击搜索框会提示您最近的搜索和标记。您可以通过选择快速重复搜索，或通过选择以前的搜索或标记并在其基础上来构建类似的搜索。

• 构建具有多个标记的搜索字符串时，请不要在标记之间包含空格。

• 在选择标记时，系统会提示您输入这些列中显示的值。选择您要搜索的值。

• 您可以根据一些常见功能快速进行筛选，方法是点击搜索框左侧的过滤器图标，然后选择显示具有以下任意组合的规则：允许、阻止、监视、入侵策略、时间范围、冲突、警告、错误、禁用规则、过期规则、、包含定义重叠的对象的规则。。

• 要查看适用于特定设备或一组设备的规则，请点击过滤器图标并选择设备。如果规则使用包含设备上至少一个接口的安全区域，或者它们不包含安全区域，则这些规则适用于设备。

满足搜索字符串的规则会被突出显示，而不匹配的规则会被隐藏。您可以取消选择仅显示匹配规则 (Show Only Matching Rules) 以查看整个表，以及该表中突出显示的规则。这让您能够查看周围的规则。

“仅显示匹配规则”(Show Only Matching Rules) 复选框旁边是与匹配搜索字符串的数量相比的策略中规则总数的摘要。