我正在监视来自 Fortinet Fortigate 100E 防火墙的流量，并且我看到了一位前员工的用户名，其本地和域帐户已被删除。我不能直接询问 Fortinet 支持，因为他们希望我注册该设备，但它不属于我或我的公司，我是一名外部分析师。其他人在 Fortinet 社区上提出了同样的问题，但无论如何都没有得到回应。
我不明白字段unauthuser,unauthusersource和指的是dstunauthuser什么。dstunauthusersource该文档没有提供任何描述。
例如，在这里我们看到运行 Zabbix 代理的 Linux 机器 ping Windows 主机：
Sep 16 09:43:22 10.100.6.60 date=2021-09-16 time=09:40:18 devname="(omissis)" devid="(omissis)" eventtime=1631778018785142954 tz="+0200" logid="0000000013" type="traffic" subtype="forward" level="notice" vd="root" srcip=192.168.1.22 identifier=34131 srcintf="lan" srcintfrole="lan" dstip=172.1.2.16 dstintf="dmz" dstintfrole="dmz" srccountry="Reserved" dstcountry="Reserved" sessionid=87825032 proto=1 action="accept" policyid=2 policytype="policy" poluuid="(omissis)" policyname="LAN1 to LAN3 all" service="PING" trandisp="noop" duration=62 sentbyte=252 rcvdbyte=252 sentpkt=3 rcvdpkt=3 appcat="unscanned" srchwvendor="Microsoft" osname="Linux" mastersrcmac="(omissis)" srcmac="(omissis)" srcserver=0 dsthwvendor="Microsoft" dstosname="Windows" dstswversion="10" dstunauthuser="XCX005123_admin" dstunauthusersource="kerberos" masterdstmac="(omissis)" dstmac="(omissis)" dstserver=0
此日志行中的异常是：
dstunauthuser="XCX005123_admin" dstunauthusersource="kerberos"
用户XCX005123_admin不再存在，但即使存在，它与 Linux 机器 ping Windows 主机有什么关系？
防火墙如何实际检索这些信息，即使它是正确的？
不仅如此，我还有一堆 RDP/3389 连接，这些连接归因于用户XCX005123_admin，而实际上是其他人在做这些连接。