深信服社区»版块 安全类 行为管理AC AC 13.0.62 近两日CPU利用率突然彪高

AC 13.0.62 近两日CPU利用率突然彪高

查看数: 243 | 评论数: 7 | 收藏 0
关灯 | 提示:支持键盘翻页<-左 右->
    组图打开中,请稍候......
发布时间: 2025-10-23 13:56

正文摘要:

前天以前CPU利用率平均在20%-30%,从前天开始利用率一直彪高,最高达到了92%,低的时候也有60%,变动也非常频繁,基本上是3、4秒就变化一次,变化幅度在5%-10%,这种情况该如何来排查呢 ...

回复

王老师 发表于 2025-10-26 09:48
确认内网是否存在感染病毒的计算机,向网络出口方向发起DOS攻击。
使用设备状态监控工具查看设备吞吐量和带宽情况,确认是否持续偏高。
在“安全防护”中开启DOS防护,并配置内网网段列表。
王老师 发表于 2025-10-26 09:45
使用async-profiler等性能分析工具对Java进程进行采样分析,生成火焰图等可视化报告。通过火焰图可直观地看到哪些方法或代码块占用了大量CPU资源,从而快速定位问题代码。
小鱼学安全 发表于 2025-10-23 18:58
可能原因1:策略配置过于复杂或失效
排查: 回忆一下前天是否对审计策略、流控策略、上网权限策略进行了大量新增或修改?特别是一条策略匹配了海量会话时,会极大增加CPU负担。尝试暂时禁用一些非核心的、新添加的深度检测策略(如内容审计、应用识别、病毒扫描),观察CPU变化。

可能原因2:加密流量分析导致
排查: 如果开启了HTTPS内容审计,设备需要解密和分析SSL流量,这是CPU密集型操作。检查近期HTTPS流量是否大增。

可能原因3:特征库问题
排查: 前天是否更新了病毒库、应用识别库、IPS特征库?新库可能包含有问题的特征,导致误判和疯狂匹配。尝试回退到之前的版本看是否能解决。
小鱼学安全 发表于 2025-10-23 18:58
可能原因1:网络广播风暴或环路
症状: 设备某个内网端口的流量(每秒包数PPS)极高,会话数暴涨。
排查: 在AC上查看【实时流量监控】或【接口流量】,逐个断开内网交换机上联线,观察CPU是否下降。如果断开某个交换机后CPU恢复正常,说明问题出在该交换机下联的网络中,需要进一步在接入层交换机排查环路。

可能原因2:网络攻击(DDoS, 端口扫描)
症状: 看到大量来自某个IP或IP段的连接请求。
排查: 查看AC的【日志中心】->【流量日志】或【攻击日志】,筛选TOP源IP地址,看是否有异常IP。临时在AC上封禁该IP看效果。
小鱼学安全 发表于 2025-10-23 18:57
刷新管理界面

登录 AC 管理界面 → 【系统状态】→【资源监控】→【CPU利用率】。
看是否 Web 图表刷新过快或有数据跳变(部分版本在频繁刷新时 CPU 显示会异常放大)。
可以同时通过 CLI 命令 show system resources 查看 CPU 实时占用,对比 Web 页面数据。
若两者一致,则为真实高占用;若不一致,则先升级补丁或重启 webui 服务。
“路人甲 发表于 2025-10-23 16:31
大概散热不好,检查一下风扇等相关的
XiaoYang’ 发表于 2025-10-23 14:25
感觉是不是下面电脑中病毒了?查看近几天的会话是不是只是在特定的时间段高并发呢?另外检查下AC控制台页面,看终端的高频流量对应的应用或者会话,以上应该会有部分信息,最后再看设备日志是否有异常提示。

最后其实针对这种异常现象的最好的方式就是逐级排查,假如说AC是串联在中间,那么就要查看出口设备是否和AC存在一样的问题,并试图在出口获取有价值的信息。那么就是出口设备——AC——交换机等依次进行排查。希望能够帮助到你!