在启用集中报告之前，应配置所有网络安全设备并确保其按预期工作。

必须在将要使用集中报告的每个网络安全设备上启用集中报告。

请参阅《思科网络安全设备 AsyncOS 用户指南》中的“启用集中报告”部分。

各个表中“所花费时间”(Time Spent) 列表示用户在某个网页上所花费的时间。用户在每个 URL 类别上所花费的时间（为了用户调查）。当跟踪 URL 时，每个用户在该特定 URL 上所花费的时间。

一旦事务事件被标记“已查看”(viewed)，即用户访问特定 URL，将会开始计算一个“所花费时间”(Time Spent) 值，并将其添加为 Web 报告表中的一个字段。

为计算所花费时间，AsyncOS 针对一分钟期间内的活动为每个活动用户分配 60 秒时间。在这一分钟结束时，在用户访问的不同域之间将会均分每个用户所花费的时间。例如，如果用户在一个活动分钟内访问四个不同的域，则会认为该用户在每个域花费 15 秒。

对于所花费时间值，请注意以下事项：

• 活动用户定义为通过设备发送 HTTP 流量并访问 AsyncOS 视为一次“页面阅览”的网站的用户名或 IP 地址。
• AsyncOS 会将页面阅览定义为用户发起的 HTTP 请求，与客户端应用发起的请求相对。AsyncOS 使用启发式算法进行最佳猜测，以确定用户页面阅览量。

单位以小时︰分钟格式显示。

网络 (Web) > 报告 (Reporting) > 概述 (Overview) 页面提供您的网络安全设备上的活动概要。它包括传入和传出事务的图和摘要表。

概述 (Overview) 页面概括地显示有关 URL 和用户使用、网络代理活动以及各种事务摘要的统计数据。事务摘要为诸如可疑事务等内容提供进一步的趋势详细信息，并且直接从此图中可以了解阻止了多少上述可疑事务，以及阻止的方式。

概述 (Overview) 页面的下半部分介绍使用情况。也就是查看的排名靠前的 URL 类别、排名靠前的应用类型以及被阻止的类别，生成这些阻止或警告的排名靠前的用户。

网络 (Web) > 报告 (Reporting) > 用户 (Users) 页面提供了多个链接，可用于查看各个用户的 Web 报告信息。

从用户 (Users) 页面中，可以查看系统上的一个或多个用户在互联网、特定站点或 URL 上花费的时间，以及用户使用多少带宽。

从用户 (Users) 页面，可以查看有关系统中用户的以下信息：

Note	要查看用户 ID 而不是客户端 IP 地址，必须设置安全管理设备，以从 LDAP 服务器获取用户信息。有关详细信息，请参阅与 LDAP 集成章节中的创建 LDAP 服务器配置文件。

Tip	要自定义此报告的视图，请参阅与网络安全报告一起使用。

要查看如何使用用户 (Users) 页面的示例，请参阅示例 1：调查用户。

Note	您可以为“用户”(Users) 页生成或安排报告。有关更多信息，请参阅关于计划的报告和按需 Web 报告。

网络 (Web) >报告 (Reporting) > 用户计数 (User Count) 页面显示有关启用了集中报告的网络安全设备的经过身份验证和未经身份验证的用户总数的信息。该页面列出最近 30 天、90 天和 180 天的唯一用户计数。

注	系统每小时计算一次已经过身份验证和未经身份验证的用户总数。

网络 (Web) > 报告 (Reporting) > 网站 (Web Sites) 页面汇聚了托管设备上所发生活动的整体情况。从该页面您可以监控特定时间范围内访问的高风险网站。

在网站页，您可以查看以下信息：

Tip	要自定义此报告的视图，请参阅与网络安全报告一起使用。

Note	您可以在“网站”(Web Sites) 页面上生成或安排报告。有关更多信息，请参阅关于计划的报告和按需 Web 报告。

网络 (Web) > 报告 (Reporting) > URL 类别 (URL Categories) 页面可用于查看系统中的用户正在访问的站点的 URL 类别。

在URL 类别 (URL Categories) 页面中，您可以查看以下信息：

Tip	要自定义此报告的视图，请参阅与网络安全报告一起使用。

Note	要生成比此页面提供信息更为详细的报告，请参阅URL 类别排行榜 - 扩展。

• 如果在计划报告内为 URL 类别使用“数据可用性”，并且在任意设备之间存在着数据差异，则会在页面底部显示以下信息：“此时间范围内的某些数据不可用”。如果没有数据差异，则不会显示任何内容。

Note	有关应用可视性的详细信息，请参阅《思科网络安全设备 AsyncOS 用户指南》的“了解应用可视性与可控性”一章。

通过网络 (Web) > 报告 (Reporting) > 应用可视性 (Application Visibility)页，可以将应用控制用于安全管理设备和网络安全设备中的特定应用类型。

应用控件不仅可以为您提供比只使用 URL 过滤更为精细的网络流量控制，同时它会为您提供对诸如以下应用类型的更多控制：

• 规避应用，例如匿名程序和加密隧道。
• 协作应用，例如 Cisco Webex、Facebook 和即时消息。
• 资源密集型应用，例如流媒体。

网络 (Web) > 报告 (Reporting) > 防恶意软件 (Anti-Malware) 页面是一个与安全相关的报告页面，反映由启用的扫描引擎（Webroot、Sophos、McAfee 和/或自适应扫描）扫描的结果。

使用此页面可以帮助识别和监控基于网络的恶意软件威胁。

Note	要查看第 4 层流量监控器查找到的恶意软件的数据，请参阅L4 流量监控器报告。

在防恶意软件页面中，可以查看以下信息：

Tip	要自定义此报告的视图，请参阅与网络安全报告一起使用。

• 文件分析报告详细信息的要求
• 通过 SHA-256 散列标识文件
• 高级恶意软件防护（文件信誉和文件分析）报告页
• 查看其他报告中的文件信誉过滤数据
• 关于 Web 跟踪和高级恶意软件防护功能

网络 (Web) > 报告 (Reporting) > 客户端恶意软件风险 (Client Malware Risk) 页面是一个安全相关报告页面，可用于监控客户端恶意软件风险活动。

在“客户端恶意软件风险”(Client Malware Risk) 页面，系统管理员可以查看哪些用户遇到了最多的阻止或警告。根据从此页面收集的信息，管理员可以点击用户链接，查看此用户在网络上执行了哪些操作导致受到如此多的阻止或警告，引发比网络上其他用户更多的检测。

此外，“客户端恶意软件风险”(Client Malware Risk) 页面还列出了常见恶意软件连接涉及的客户端 IP 地址，如第 4 层流量监控器 (L4TM) 所标识。经常连接到恶意站点的计算机可能感染了尝试连接到中央命令和控制服务器的恶意软件，应进行杀毒。

下表介绍有关“客户端恶意软件风险”页的信息。

Tip	要自定义此报告的视图，请参阅与网络安全报告一起使用。

网络 (Web) > 报告 (Reporting) > 网络信誉过滤器 (Web Reputation Filters) 可用于查看在指定的时间范围内为事务设置的网络信誉过滤器的结果。

网络 (Web) > 报告 (Reporting) > L4 流量监控器 (L4 Traffic Monitor) 页面会显示有关上网络安全设备的 L4 流量监控器在指定的时间范围内检测到的恶意软件端口和恶意软件站点的信息。它还会显示经常遇到恶意软件站点的客户端的 IP 地址。

L4 流量监视器会监听通过每个网络安全设备上的所有端口传入的网络流量,并且将域名称和 IP 地址与其自己的数据库表中的条目进行匹配，以确定是否允许传入和传出流量。

可以使用此报告中的数据来确定是阻止端口或站点，还是调查某个特定客户端 IP 地址反常地频繁连接到恶意软件站点的原因（例如，这可能是因为与该 IP 地址关联的计算机感染了尝试连接到一台集中命令和控制服务器的恶意软件）。

Tip	要自定义此报告的视图，请参阅与网络安全报告一起使用。

Tip	要自定义此报告的视图，请参阅与网络安全报告一起使用。

网络 (Web) > 报告 (Reporting) > SOCKS 代理 (SOCKS Proxy) 页面允许您查看那些通过 SOCKS 代理处理的事务的数据和趋势，包括目标和用户的信息。

Note	报告中显示的目标是 SOCKS 客户端（通常是浏览器）发送到 SOCKS 代理的地址。

要更改 SOCKS 策略设置，请参阅思科网络安全设备 AsyncOS 用户指南。

网络 (Web) > 报告 (Reporting) > 按用户地点分类的报告 (Reports by User Location) 页面允许您查看您的移动用户正在其本地或远程系统上执行哪些活动。

具体活动包括：

• 本地和远程用户正访问的 URL 类别。
• 由本地和远程用户正访问的站点触发的防恶意软件活动。
• 本地和远程用户正访问的站点的网络信誉。
• 本地和远程用户正访问的应用。
• 用户（本地和远程）。
• 本地和远程用户访问的域。

从按用户位置报告页面，可查看下列信息：

在按用户地点分类的报告 (Reports by User Location) 页面中，可以生成显示本地和远程用户活动的报告。这允许您方便地比较您的用户的本地和远程活动。

Tip	要自定义此报告的视图，请参阅与网络安全报告一起使用。

Note	您可以为“按用户位置报告”(Reports by User Location) 页面上的信息生成一个已安排报告。有关安排报告的信息，请参阅关于计划的报告和按需 Web 报告。

通过网络 (Web) > 报告 (Reporting) > 系统容量 (System Capacity) 页面，可以查看网络安全设备在安全管理设备上施加的总体工作负载。最重要的是，您可以使用“系统容量”(System Capacity) 页面来跟踪随着时间的发展情况并针对系统容量进行规划。监控您的网络安全设备确保容量适合您的用量。邮件量将随着时间不可避免地增加；适当的监控可确保主动应用额外的容量或配置更改。

“系统容量”(System Capacity) 页面可用于确定以下信息：

• 发现网络安全设备何时超出了建议的 CPU 容量；这使得您可以确定何时需要配置优化或其他设备。
• 要进行故障排除，需确定系统的哪些部分使用大多数资源。
• 识别响应时间和代理缓冲内存。
• 识别每秒的事务数和未完成的任意连接。

网络 (Web) > 报告 (Reporting) > 数据可用性 (Data Availability) 页面提供有关每个受管网络安全设备的安全管理设备上具有可用报告和 Web 跟踪数据的日期范围。

Note	如果禁用了 Web 报告，则不会从网络安全设备提取任何新数据，但是以前检索的数据仍存在于安全管理设备中。

如果 Web 报告的“从 (From)”和“到 (To)”列与 Web 报告和跟踪的“从 (From)”和“到 (To)”列之间具有不同的状态，则“状态 (Status)”列中会显示最严重的后果。

有关清除数据的信息，请参阅管理磁盘空间。

Note	如果在计划报告内为 URL 类别使用“数据可用性”(Data Availability)，并且在任意设备之间存在着数据差异，则会在页面底部显示以下信息：“Some data in this time range was unavailable”。如果没有数据差异，则不会显示任何内容。

各个表中“所花费时间”(Time Spent) 列表示用户在某个网页上所花费的时间。用户在每个 URL 类别上所花费的时间（为了用户调查）。当跟踪 URL 时，每个用户在该特定 URL 上所花费的时间。

一旦事务事件被标记“已查看”(viewed)，即用户访问特定 URL，将会开始计算一个“所花费时间”(Time Spent) 值，并将其添加为 Web 报告表中的一个字段。

为计算所花费时间，AsyncOS 针对一分钟期间内的活动为每个活动用户分配 60 秒时间。在这一分钟结束时，在用户访问的不同域之间将会均分每个用户所花费的时间。例如，如果用户在一个活动分钟内访问四个不同的域，则会认为该用户在每个域花费 15 秒。

对于所花费时间值，请注意以下事项：

• 活动用户定义为通过设备发送 HTTP 流量并访问 AsyncOS 视为一次“页面阅览”的网站的用户名或 IP 地址。
• AsyncOS 会将页面阅览定义为用户发起的 HTTP 请求，与客户端应用发起的请求相对。AsyncOS 使用启发式算法进行最佳猜测，以确定用户页面阅览量。

单位以小时︰分钟格式显示。

概述报告页面提供网络安全设备上的活动概要。它包括传入和传出事务的图和摘要表。

要查看“概述”(Overview) 报告页面，请从“产品”(Product) 下拉列表中选择网络 (Web)，然后从“报告”(Reports) 下拉列表中选择监控 (Monitoring) > 概述 (Overview)。有关详细信息，请参阅使用交互式报告页面。

概述报告页面概括地显示有关 URL 和用户使用、网络代理活动以及各种事务摘要的统计数据。事务摘要为诸如可疑事务等内容提供进一步的趋势详细信息，并且直接从此图中可以了解阻止了多少上述可疑事务，以及阻止的方式。

“概述”报告页面的下半部分介绍使用情况。也就是查看的排名靠前的 URL 类别、排名靠前的应用类型以及被阻止的类别，生成这些阻止或警告的排名靠前的用户。

注	有关应用可视性的详细信息，请参阅《思科网络安全设备 AsyncOS 用户指南》的“了解应用可视性与可控性”一章。

通过应用可视性报告页面，可以将控制应用于安全管理设备和网络安全设备中的特定应用类型。

要查看“应用可视性”(Application Visibility) 报告页面，请从“产品”(Product) 下拉列表中选择网络 (Web)，然后从“报告”(Reports) 下拉列表中选择监控 (Monitoring) > 应用可视性 (Application Visibility)。有关详细信息，请参阅使用交互式报告页面。

应用控制不仅可以为您提供比只使用 URL 过滤更为精细的网络流量控制，同时它会为您提供对诸如以下应用类型的更多控制：

• 规避应用，例如匿名程序和加密隧道。

• 协作应用，例如 Cisco Webex、Facebook 和即时消息。

• 资源密集型应用，例如流媒体。

了解应用与应用类型之间的差异

了解应用和应用类型之间的差异以便可以控制报告涉及的应用，这一点至关重要。

• 应用类型。包含一个或多个应用的类别。例如，搜索引擎是可包含搜索引擎（例如 Google Search 和 Craigslist）的应用类型。即时消息是另一种应用类型类别，可能包含 Yahoo Instant Messenger 或 Cisco Webex。Facebook 也是一种应用类型。

• 应用。属于某一应用类型的特定应用。例如，YouTube 是一种媒体 (Media) 应用类型的应用。

• 应用行为。用户可以在应用中完成的特定操作或行为。例如，用户可以在使用某种应用（例如 Yahoo Messenger）时传输文件。并非所有应用均包括您可以配置的应用行为。

注	有关了解如何使用应用可视性与可控性 (AVC) 引擎以控制 Facebook 活动的详细信息，请参阅《思科网络安全设备 AsyncOS 用户指南》中的“了解应用可视性与可控性”一章。

在“应用可视性”(Application Visibility) 页面，您可以查看以下信息：

表 15. “应用可视性”(Application Visibility) 页面上的详细信息

部分	说明
时间范围 (Time Range) （下拉列表）	选择报告的时间范围。有关详细信息，请参阅选择报告的时间范围。
按事务总数排名靠前的应用类型 (Top Application Types by Total Transactions)	以图形格式查看在站点上访问的排名靠前的应用类型。 要自定义图表视图，请点击图表上的 。有关详细信息，请参阅（仅限 Web 报告）选择要绘制哪些数据的图表。 例如，像 Instant Messenger 这样的即时聊天工具、Facebook 和演示应用类型。
按受阻事务数排名靠前的应用 (Top Applications by Blocked Transactions)	以图形格式查看根据事务触发阻止操作的排名靠前的应用类型。 要自定义图表视图，请点击图表上的 。有关详细信息，请参阅（仅限 Web 报告）选择要绘制哪些数据的图表。 例如，用户尝试启动某个应用类型，例如 Google Talk 或 Yahoo Instant Messenger，由于特定策略已就位，这触发了阻止操作。然后此应用会作为受阻止的事务或警告在图中列出。
匹配的应用类型 (Application Types Matched)	“匹配的应用类型”(Application Types Matched) 交互表允许您查看“按事务总数排名靠前的应用类型”(Top Applications Type by Total Transactions) 表中列出的应用类型。 在“应用”列，您可以点击某个应用以查看详细信息。
匹配的应用 (Applications Matched)	“匹配的应用”交互式表显示在指定时间范围内的所有应用。 此外，您可以在匹配的应用 (Applications Matched) 部分查找特定应用。在该部分底部的文本字段中，输入特定应用名称，并点击查找应用 (Find Application)。

注	要自定义此报告的视图，请参阅与网络安全报告一起使用。

第 4 层流量监控器报告页面显示有关网络安全设备上的第 4 层流量监控器在指定的时间范围内检测到的恶意软件端口和恶意软件站点的信息。它还显示经常遇到恶意站点的客户端的 IP 地址。

要查看“网站”(Web Sites) 报告页面，请从“产品”(Product) 下拉列表中选择网络 (Web)，然后从“报告”(Reports) 下拉列表中选择监控 (Monitoring) > 网站 (Web Sites)。有关详细信息，请参阅使用交互式报告页面。

第 4 层流量监控器会侦听通过每个网络安全设备上的所有端口传入的网络流量，并且将域名称和 IP 地址与其自己的数据库表中的条目进行匹配，以确定是否允许传入和传出流量。

您可以使用此报告中的数据来决定是否阻止某个端口或站点，或研究某个特定客户端 IP 地址异常频繁地连接到恶意站点的原因（例如，这可能是因为与该 IP 地址相关联的计算机尝试连接到一台集中命令和控制服务器）。

提示	要自定义此报告的视图，请参阅与网络安全报告一起使用。

通过“SOCKS 代理”报告页面，可以以图形和表格格式查看通过 SOCKS 代理处理的事务，其中包括目标和用户的相关信息。

要查看“SOCKS 代理”(SOCKS Proxy) 报告页面，请从“产品”(Product) 下拉列表中选择网络 (Web)，然后从“报告”(Reports) 下拉列表中选择监控 (Monitoring) > SOCKS 代理 (SOCKS Proxy)。有关详细信息，请参阅使用交互式报告页面。

注	报告中显示的目标是 SOCKS 客户端（通常是浏览器）发送到 SOCKS 代理的地址。

要更改 SOCKS 策略设置，请参阅《思科网络安全设备 AsyncOS 用户指南》。

提示	要自定义此报告的视图，请参阅与网络安全报告一起使用。

URL 类别报告页面可用于查看系统中的用户正在访问的站点的 URL 类别。

要查看“URL 类别”(URL Categories) 报告页面，请从“产品”(Product) 下拉列表中选择网络 (Web)，然后从“报告”(Reports) 下拉列表中选择监控 (Monitoring) > URL 类别 (URL Categories)。有关详细信息，请参阅使用交互式报告页面。

在“URL 类别”(URL Categories) 页面中，您可以查看以下信息：

提示	要自定义此报告的视图，请参阅与网络安全报告一起使用。

用户报告页面提供了多个链接，可用于查看各个用户的 Web 报告信息。

要查看“用户”(Users) 报告页面，请从“产品”(Product) 下拉列表中选择网络 (Web)，然后从“报告”(Reports) 下拉列表中选择监控 (Monitoring) > 用户 (Users)。有关详细信息，请参阅使用交互式报告页面。

从用户 (Users) 页面中，可以查看系统上的一个或多个用户在互联网、特定站点或 URL 上花费的时间，以及用户使用多少带宽。

注	在网络安全设备上，安全管理设备可以支持的最大用户数为 500。

从用户 (Users) 页面，可以查看有关系统中用户的以下信息：

注	要查看用户 ID 而不是客户端 IP 地址，必须设置安全管理设备，以从 LDAP 服务器获取用户信息。

提示	要自定义此报告的视图，请参阅与网络安全报告一起使用。

网站报告页面汇聚了托管设备上所发生活动的整体情况。您可以使用此报告页面监控特定时间范围内访问的高风险网站。

要查看“网站”(Web Sites) 报告页面，请从“产品”(Product) 下拉列表中选择网络 (Web)，然后从“报告”(Reports) 下拉列表中选择监控 (Monitoring) > 网站 (Web Sites)。有关详细信息，请参阅使用交互式报告页面。

在网站 (Web Sites) 页面，您可以查看以下信息：

提示	要自定义此报告的视图，请参阅与网络安全报告一起使用。

“HTTPS 报告”报告页面是托管设备上 HTTP/HTTPS 流量摘要（事务或带宽使用情况）的整体汇聚。

您还可以根据客户端连接或服务器端连接，查看通过托管设备的单个 HTTP/HTTPS Web 流量所支持的密码摘要。

要查看“HTTPS 报告”(HTTPS Reports) 报告页面，请从产品 (Product)下拉列表中选择网络 (Web)，然后从 报告 (Reports) 下拉列表中选择监控 (Monitoring) > HTTPS 报告 (HTTPS Reports)。有关详细信息，请参阅使用交互式报告页面。

防恶意软件报告页面是一个与安全相关的报告页面，反映由启用的扫描引擎（Webroot、Sophos、McAfee 和/或自适应扫描）扫描的结果。

要查看防恶意软件报告页面，请从“产品”(Product) 下拉列表中选择网络 (Web)，然后从“报告”(Reports) 下拉列表中选择监控 (Monitoring) > 防恶意软件 (Anti-Malware)。有关详细信息，请参阅使用交互式报告页面。

使用此页面可以帮助识别和监控基于网络的恶意软件威胁。

注	要查看第 4 层流量监控器发现的恶意软件的数据，请参阅 “第 4 层流量监控器”(Layer 4 Traffic Monitor) 页面

在防恶意软件页面中，可以查看以下信息：

提示	要自定义此报告的视图，请参阅与网络安全报告一起使用。

高级恶意软件防护通过如下方式防范零日威胁和基于文件的针对性威胁：

• 获取已知文件的信誉。

• 分析尚不为信誉服务所知的某些文件行为。

• 在获得新信息时评估新出现的威胁，并在确定为威胁的文件进入您的网络后通知您。

有关文件信誉过滤和文件分析的详细信息，请参阅用于网络安全设备的 AsyncOS 的用户指南或联机帮助。

要查看“高级恶意软件保护”(Advanced Malware Protection) 报告页面，请从“产品”(Product) 下拉列表中选择 Web，然后从“报告”(Product) 下拉列表中选择监控 (Monitoring) > 高级恶意软件保护 (Advanced Malware Protection)。有关详细信息，请参阅 使用交互式报告页面。

“高级恶意软件保护”(Advanced Malware Protection) 报告页面显示以下报告视图：

• 高级恶意软件防护 - AMP 摘要

• 高级恶意软件保护 - 文件分析

客户端恶意软件风险报告页面是与安全相关的报告页面，可用于监控客户端恶意软件风险活动。

要查看“客户端恶意软件风险”(Client Malware Risk) 报告页面，请从“产品”(Product) 下拉列表中选择网络 (Web)，然后从“报告”(Reports) 下拉列表中选择监控 (Monitoring) > 客户端恶意软件风险 (Client Malware Risk)。有关详细信息，请参阅使用交互式报告页面。

在“客户端恶意软件风险”报告页面，系统管理员可以查看哪些用户遇到了最多的阻止或警告。根据从此页面收集的信息，管理员可以点击用户链接，查看此用户在网络上执行了哪些操作导致受到如此多的阻止或警告，引发比网络上其他用户更多的检测。

此外，“客户端恶意软件风险”(Client Malware Risk) 页面还列出了常见恶意软件连接涉及的客户端 IP 地址，如第 4 层流量监控器 (L4TM) 所标识。经常连接到恶意站点的计算机可能感染了尝试连接到中央命令和控制服务器的恶意软件，应进行杀毒。

下表介绍有关“客户端恶意软件风险”页的信息。

提示	要自定义此报告的视图，请参阅与网络安全报告一起使用。

您可以使用网络信誉过滤器报告页面查看在指定的时间范围内为事务设置的网络信誉过滤器的结果。

要查看“网络信誉过滤器”(Web Reputation Filters) 报告页面，请从“产品”(Product) 下拉列表中选择网络 (Web)，然后从“报告”(Reports) 下拉列表中选择监控 (Monitoring) > 网络信誉过滤器 (Web Reputation Filters)。有关详细信息，请参阅使用交互式报告页面。

什么是网络信誉过滤？

网络信誉过滤用于分析网络服务器行为并为 URL 分配一个信誉得分，从而确定其包含基于 URL 的恶意软件的可能性。它有助于防御会威胁最终用户隐私和敏感公司信息的基于 URL 的恶意软件。网络安全设备使用 URL 信誉分数来识别可疑活动并提前阻止恶意软件攻击，避免其发生。您可以使用同时具有访问和解密策略的网络信誉过滤。

网络信誉过滤器使用统计数据评估互联网域可靠性并对 URL 信誉进行评分。许多数据可用于判断给定 URL 的可信度，例如，特定域的注册时长，或网站的托管位置，或者网络服务器是否使用动态 IP 地址等。

网络信誉计算将 URL 与网络参数相关联，用于确定恶意软件存在的可能性。然后得出的恶意软件存在的综合可能性会映射为一个 -10 到 +10 之间的网络信誉分数，+10 为最不可能包含恶意软件。

示例参数包括：

• URL 类别数据

• 存在的可下载代码

• 存在的冗长且含混的最终用户许可协议 (EULA)

• 全局量和量的变化

• 网络所有者信息

• URL 的历史记录

• URL 的时长

• 是否存在于任何阻止列表上

• 是否存在于任何允许列表上

• 常用域的 URL 拼写错误

• 域注册商信息

• IP 地址信息

有关网络信誉过滤的详细信息，请参阅《网络安全设备 AsyncOS 用户指南》中的“网络信誉过滤器”。

在网络信誉过滤 (Web Reputation Filters) 页面，您可以查看以下信息：

表 25. “网络信誉过滤器”(Web Reputation Filters) 页面上的详细信息

部分	说明
时间范围 (Time Range) （下拉列表）	选择报告的时间范围。有关详细信息，请参阅选择报告的时间范围。
网络信誉操作（趋势）(Web Reputation Actions [Trend])	您可以以图形格式查看指定时间内的网络信誉操作总数。在这里，您可以看到随着时间推移网络信誉操作的潜在趋势。
网络信誉操作（容量）(Web Reputation Actions [Volume])	您可以按事务以百分比的形式查看网络信誉操作数量。
已由 WBRS 阻止的网络信誉威胁类型 (Web Reputation Threat Types Blocked by WBRS)	您可以以图形格式查看事务中发现的已由网络信誉过滤阻止的威胁类型。 注   WBRS 不能始终识别出威胁类型。
在其他事务中检测到的威胁类型 (Threat Types Detected in Other Transactions)	您可以以图形格式查看事务中发现的已由网络信誉过滤阻止的威胁类型。 要自定义图表视图，请点击图表上的 。有关详细信息，请参阅（仅限 Web 报告）选择要绘制哪些数据的图表。 这些威胁未被阻止的可能原因包括： 并非所有威胁的得分均达到阻止阈值。但是，设备的其他功能可以捕获这些威胁。 可策略以允许配置威胁通过。 注   WBRS 不能始终识别出威胁类型。
Web 信誉操作（按分数分解）	如果未启用自适应扫描功能，此交互式表格会显示针对每项操作细分的网络信誉分数。

提示	要自定义此报告的视图，请参阅与网络安全报告一起使用。

会保留其生成的最新报告 - 对于每个计划报告，可包含多达 30 个最近的实例，并且对于所有报告，可包含 1000 个总版本。

存档的报告会自动删除。在添加新的报告时，系统会删除较旧的报告以将数量保持在 1000 个。最多可将 30 个实例应用到具有相同名称和时间范围的各个计划报告。

已存档的报告存储在设备上的 /periodic_reports 目录。（有关详细信息，请参阅IP 接口和访问设备。）

要编辑报告，请转到网络 (Web) > 报告 (Reporting) > 计划的报告 (Scheduled Reports)，并选中您要编辑报告的相应复选框。修改设置，然后点击提交 (Submit) 以提交在页面上进行的更改，然后点击确认更改 (Commit Changes) 按钮以确认对设备进行的更改。

要删除报告，请转到网络 (Web) > 报告 (Reporting) > 计划的报告 (Scheduled Reports)，并选中您要编辑报告的相应复选框。要删除所有计划报告，请选中全部 (All) 复选框，然后删除并确认更改。注意已删除报告的存档版本不会被删除。

安全管理设备上还提供另外两个报告作为计划报告：

• URL 类别排行榜 - 扩展
• 排名靠前的应用类型 - 扩展

本节包括以下主题：

• 在新 Web 界面上添加已计划的 Web 报告

• 在新 Web 界面上编辑已计划网络报告

• 在新 Web 界面上删除已计划的 Web 报告

注	您可以选择让用户名在所有报告中无法识别。有关信息，请参阅在 Web 报告中让用户名保持匿名。

您可以安排报告每日、每周或每月运行。已安排报告可以配置为包括前一天、前七天、上个日历日（最多 250 天）以及上个日历月（最多 12 个月）的数据。或者，您可以包括自定义天数（从 2 天到 100 天）或自定义月数（从 2 个月到 12 个月）的数据。

无论您何时运行报告，均会从上一个时间时间间隔（小时、天、星期或月）返回数据。例如，如果您计划在凌晨 1 点运行每日报告，则该报告将包含前一天从午夜到午夜（00:00 到 23:59）的数据。

可以根据需要为报告定义任意数量的收件人，包括零个收件人。如果不指定邮件收件人，则系统仍会将报告存档。但是，如果您需要将报告发送到大量地址，则可能需要创建邮件列表，而不是逐个列出收件人。

• [新 Web 界面] 按需生成 Web 报告

• 在新 Web 界面上查看和管理存档的网络报告

网络 (Web) > 报告 (Reporting) > Web 跟踪 (Web Tracking) 页面上的“L4 流量监控器”(L4 Traffic Monitor) 选项卡提供有关与恶意软件站点和端口的连接的详细信息。您可以通过以下信息类型搜索至恶意软件站点的连接：

• 时间范围
• 发起该事务的计算机的 IP 地址（IPv4 或 IPv6）
• 目标网站的域或 IP 地址（IPv4 或 IPv6）
• 端口
• 与组织中的计算机相关联的 IP 地址
• 连接类型
• 处理连接的网络安全设备

将会显示前 1000 个匹配的搜索结果。

查看有问题站点或处理事务的网络安全设备的主机名，请点击“目标 IP 地址 (Destination IP Address)”列标题中的“显示详细信息 (Display Details)”链接。

有关如何使用此信息的更多信息，请参阅L4 流量监控器报告。

Web 跟踪搜索 (Web Tracking Search) 页面上的“第 4 层流量监控器”(Layer 4 Traffic Monitor) 选项卡提供有关与恶意软件站点和端口连接的详细信息。您可以通过以下信息类型搜索至恶意软件站点的连接：

• 时间范围

• 发起该事务的计算机的 IP 地址（IPv4 或 IPv6）

• 目标网站的域或 IP 地址（IPv4 或 IPv6）

• 端口

• 与组织中的计算机相关联的 IP 地址

• 连接类型

• 处理连接的网络安全设备

查看有问题站点或处理事务的网络安全设备的主机名，请点击“目标 IP 地址 (Destination IP Address)”列标题中的“显示详细信息 (Display Details)”链接。

有关如何使用此信息的更多信息，请参阅“第 4 层流量监控器”(Layer 4 Traffic Monitor) 页面。

默认情况下，结果是按时间戳排序，最近的结果显示在顶部。

搜索结果包括：

• 访问 URL 的时间。

• 用户发起的事务所引发的相关事务数，例如，加载的图像、JavaScript 运行和访问的辅助站点等。相关事务的数量会显示在列标题中“显示所有详细信息”(Display All Details) 链接下的每行中。

• 处理（事务的结果。如果适用，显示事务被阻止、被监控或被警告的原因。）

当在“Web 跟踪”(Web Tracking) 中搜索文件威胁信息时，请记住以下要点：

• 要搜索文件信誉服务找到的恶意文件，请针对 Web 跟踪的“高级”(Advanced) 部分中恶意软件威胁区域的按恶意软件类别过滤 (Filter by Malware Category) 选项选择已知恶意软件和高风险文件 (Known Malicious and High-Risk Files)。

• Web 跟踪仅包括文件信誉处理以及在处理事务时返回的初始文件信誉判定的相关信息。例如，如果最初发现文件是干净文件，然后判定更新发现文件是恶意文件，则只有干净的判定显示跟踪结果中。

  搜索结果中的“阻止 - AMP”(Block - AMP) 意味着由于文件的信誉判定而阻止该事务。

  在跟踪详细信息中，“AMP 威胁评分”是当云信誉服务无法判定某个文件正常时所能提供的最佳得分。在这种情况下，得分介于 1 和 100 之间。（如果返回了 AMP 判定，或者得分为零，请忽略 AMP 威胁评分。）设备会将此得分与阈值得分（在“安全服务”[Security Services] >“防恶意软件和信誉”[Anti-Malware and Reputation] 页面上配置）进行比较，以确定所需采取的操作。默认情况下，得分介于 60 到 100 之间的文件会被视为恶意文件。思科不建议更改默认阈值得分。WBRS 得分是从中下载文件的站点的信誉；此得分与文件信誉无关。

• 判定更新仅在 AMP 判定更新报告中可用。Web 跟踪中的初始事务详细信息不会随判定更改而更新。要涉及特定文件的事务，请在判定更新报告中点击 SHA-256。

• 有关文件分析的信息（包括分析结果以及是否发送文件进行分析）仅在文件分析报告中可用。

  有关已分析的文件的其他信息，可从云端获取。要查看文件的任何可用的文件分析信息，请依次选择报告 (Reporting) > 文件分析 (File Analysis) 并输入 SHA-256 以搜索该文件，或点击 Web 跟踪详细信息中的 SHA-256 链接。如果文件分析服务已分析任何源中的文件，则可以查看详细信息。系统仅会为已分析的文件的结果。

  如果设备处理了已发送的待分析文件的后续实例，则这些实例将显示在“Web 跟踪”(Web Tracking) 搜索结果中。

新的 Web 跟踪功能可能不适用于在升级之前发生的事务，因为可能没有为这些事务保留所需的数据。有关与 Web 跟踪和升级相关的可能限制，请参阅您的版本的发行说明。

问题

已按照指示启用了集中 Web 报告功能，但这不起作用。

解决方案

如果没有为报告分配磁盘空间，则集中 Web 报告不起作用，直到分配磁盘空间。只要您为 Web 报告和跟踪设置的配额大于当前使用的磁盘空间，您就不会丢失任何 Web 报告和跟踪数据。有关详细信息，请参阅管理磁盘空间。

问题

网络安全设备和邮件安全设备发送同一文件进行分析，而网络和邮件的 AMP 裁定更新报告针对该文件显示不同的裁定。

解决方案

这种情况是暂时的。下载了所有判定更新后，结果便会匹配。实现匹配最多需要 30 分钟。

• 文件分析报告详细信息不可用
• 查看文件分析 (File Analysis) 报告详细信息时出错

问题

报告或跟踪结果中缺少预期数据。

解决方案

可能的原因：

• 确保您选择了所需的时间范围。
• 对于跟踪结果，请确保您正在查看所有匹配的结果。请参阅显示更多 Web 跟踪搜索结果。
• 网络安全设备和思科 安全邮件和 Web 管理器设备之间的数据传输可能已被中断，或者数据可能已被清除。请参阅“数据可用性”(Data Availability) 页面。
• 如果升级更改了报告或跟踪信息的方式，则在升级前发生的事务可能不会按预期呈现。要查看您的版本是否具有此类更改，请参阅文档中指定的您的版本的发行说明。
• 对于网络代理服务跟踪搜索结果中缺少的结果，请参阅搜索网络代理服务处理的事务。
• 对于按用户请求的事务过滤时出现的意外结果，请参阅搜索网络代理服务处理的事务中表的“用户请求”(User Request) 行。

问题

PDF 仅显示在“Web 跟踪”(Web Tracking) 页面上可见的一些数据。

解决方案

有关要包含在 PDF 和 CSV 文件中以及从其中省略的数据的信息，请参阅并导出报告和跟踪数据中相应表格的网络跟踪信息。

如果网络代理配置为转发代理，并且第 4 层流量监控器设置为监控所有端口，则代理的数据端口的 IP 地址会记录并显示为报告中的客户端 IP 地址。如果网络代理配置为透明的代理，请启用 IP 欺骗以正确地记录和显示客户端 IP 地址。为此，请参阅《IronPort AsyncOS for Web 用户指南》。

问题

导出到 .csv 文件的“匹配的域”(Domains Matched) 数据与网络界面中显示的数据不同。

解决方案

出于性能原因，系统仅将前 300,000 个条目导出为 .csv。

问题

在同时运行多个大型搜索查询时，网络跟踪搜索结果会显示“内存不足”(Out of Memory) 错误。

解决方案

要解决此问题，您可以将内存的堆大小增加到 1024 MB 或更大，或者缩小搜索条件的时间范围。请记住，增加内存的堆大小可能会导致内存相关问题。