防火墙SecPath F1000-AK1342

排查解决步骤
1. 确认告警源类型
执行命令查看告警详情，明确是IPS、AV还是异常流量类告警：

display logbuffer | include 10.99.0.22
display alarm all

若为IPS告警，先确认是否为扫描类/探测类特征触发，这类特征无需双向会话也可能因镜像/泛洪流量触发。
2. 排查流量入口
开启流量统计排查是否有该IP的异常流量进入防火墙：

acl number 3000
rule 0 permit ip source 10.99.0.22 0
rule 5 permit ip destination 10.99.0.22 0
interface （所有入向接口）
packet-filter 3000 inbound
packet-filter statistics enable

等待后查看统计：display packet-filter statistics interface （接口） inbound，确认是否有匹配流量。
3. 检查镜像/旁路部署场景
若为旁路镜像部署，确认镜像源是否存在该IP的残留/泛洪流量；同时检查是否有会话残留（虽重启过，可再确认）：

display session table ipv4 source-ip 10.99.0.22
display arp | include 10.99.0.22

4. 临时屏蔽验证（可选）
若确认无真实流量，可先在IPS策略中添加该IP的例外，验证告警是否消失：

ips policy （策略名）
exception ip address 10.99.0.22 255.255.255.255

若告警消失，再进一步排查底层流量或特征误报，可收集诊断信息反馈400确认特征库问题。
5. 检查设备系统版本
执行display version确认当前版本，若为老版本建议升级至官网最新稳定版，排除软件BUG导致的误告警。