Tag的分类和传递Tag的方式

Tag（标签）把终端属性转换为可供 EMS、FortiGate 和其他 Security Fabric 组件使用的分组。标签本身不直接实施阻断；只有被防火墙、ZTNA、VPN 或 NAC 策略引用后才产生访问控制效果。

不同的标签类型

类型	来源	更新方式	典型用途
Security Posture Tag	EMS 下发条件，FortiClient 检查终端后回报	随终端状态和 Telemetry 动态变化	合规、操作系统、进程、文件、域成员、AV、漏洞等条件访问
Classification Tag	EMS 管理员手工分配 Importance 或自定义标签	人工增加或移除	资产重要性、部门、用途、风险接受分组
FortiGuard Outbreak Alert Tag	FortiGuard Outbreak Alert 与终端软件/漏洞匹配	随疫情告警和终端状态更新	对近期活跃漏洞实施临时隔离或加强控制
Fabric Tag	FortiAnalyzer/FortiEDR 等 Fabric 组件根据 IOC 或检测结果生成	随外部分析结果更新	隔离可疑、恶意或受感染终端

注

“静态/动态”描述分配方式，不是与上述四种类型并列的第五类标签。Classification Tag 通常是静态分配；Security Posture、Outbreak Alert 和 Fabric Tag 通常动态变化。

Security Posture Tag

EMS 创建标签及规则
        ↓ Telemetry 下发
FortiClient 检查操作系统、用户、进程、软件和安全状态
        ↓ 回报匹配结果
EMS 动态更新标签成员（Tag Monitor）
        ↓ EMS Fabric Connector / WebSocket
FortiGate 生成或更新只读动态地址对象
        ↓
Firewall / ZTNA / VPN / NAC 策略实时使用

终端网络变化、用户登录或注销会触发更及时的标签消息；其他变化通常按 keepalive 周期上报。实际收敛时间取决于客户端、EMS、连接器和 FortiOS 状态。

Classification Tag

管理员在 Endpoint 详情或批量 Action 中分配标签。EMS 默认只向 Fabric 设备共享 Security Posture Tags；要让 FortiGate 使用 Classification Tag，需在 Fabric Device 的 Tag Types Being Shared 中额外选择 Classification Tags。

FortiGuard Outbreak Alert Tag

EMS 接收 FortiGuard 疫情告警，并把告警条件与受管理终端匹配。需要向 FortiGate 共享时，在 Fabric Device 中启用相应标签类型。此类标签应配合告警生命周期管理，避免疫情结束后策略长期残留。

Fabric Tag

典型链路为：FortiClient 把日志发送 FortiAnalyzer；FortiAnalyzer 的 IOC 规则命中终端后生成标签；EMS 接收并显示标签；若该类型已授权共享，再发送给 FortiGate。不同页面可能把它显示为 Fabric Tag 或 Classification Tags - Fabric。

设计建议

使用稳定、无空格且能体现事实的名称，例如 POSTURE_AV-Healthy、CLASS_Critical-Asset。
区分“满足条件”与“不满足条件”，避免双重否定。
每个标签记录所有者、业务用途、引用策略和失效条件。
对高风险动态标签设置清晰的用户通知消息和恢复路径。
定期清理无成员、未被策略使用或来源已经失效的标签。
FortiGate 每个 Security Posture Tag 可能派生 IP 和 MAC 动态地址；大量标签会消耗地址对象容量，应检查具体型号上限。

验证与排错

在 Security Posture Tags > Tag Monitor 检查标签成员、时间和类型。
在 Administration/Fabric & Connectors > Fabric Devices 检查 FortiGate 授权、Last Sync 和共享类型。
在 FortiGate Policy & Objects > ZTNA > Security Posture Tags 或 Addresses 中检查只读动态对象。
成员不更新时，按 FortiClient → EMS → Fabric Connector → FortiGate 的顺序检查，不要直接重建策略。
Classification/Fabric/Outbreak 标签未出现时，先确认该类型已在 Tag Types Being Shared 中启用。

更新历史

Ver	Description	Author	Rev	Date
1.0	First Complete	ysheng	tanga	2026.08.31
0.1	Draft Version	-	-	2026.08.04