组

组是用于构建策略的基本构建块。配置策略时，您可以使用组而不是单个实体来设置每个策略条件。OT 安全提供一些预定义的组。您也可以创建自己的用户定义组。因此，为了简化策略的编辑和创建过程，Tenable 建议提前配置所需组。

注意：您只能使用“组”设置策略参数。即使希望将某个策略应用于单个实体，也必须配置仅包含该实体的组。

查看组

要查看组：

在左侧导航栏中，单击“组”。

“组”部分随即展开，并显示组类型。

在“组”下，您可以查看系统中已配置的所有组。组分为以下两类：

预定义的组：经过预先配置，无法编辑。
用户定义的组：您可以创建和编辑这些组。

存在多种不同类型的组，每种类型均可用于配置各种策略类型。每个组类型都显示在“组”下的单独屏幕上。组类型包括：

资产组：资产是网络中的硬件实体。资产组可用作多种策略类型的策略条件。
网段：网段是一种用于创建相关网络资产组的方法，以帮助在逻辑上将一个资产组与另一个资产组隔离。
电子邮件组：发生策略事件时收到通知的电子邮件组。适用于所有策略类型。
端口组：网络中的资产使用的端口组。用于识别已打开的端口的策略。
协议组：在网络中的资产之间进行对话所依据的协议组。用作网络事件的策略条件。
计划组：计划组定义的是用于配置指定事件必须在什么时间发生才能满足策略条件的时间范围。
标签组：标签是控制器中包含特定操作数据的参数。标签组可用作 SCADA 事件的策略条件。
规则组：规则组由一组相关的规则组成，可以通过其 Suricata 签名 ID (SID) 进行标识。这些组可以用作定义入侵检测策略的策略条件。

以下各节说明了创建每种类型的组的过程。此外，您还可以查看、编辑、复制或删除现有组，详情请参阅“组操作”。

资产组

资产是网络中的硬件实体。将类似的资产划分为同组有助于创建应用于组内所有资产的策略。例如，可以使用资产组“控制器”创建策略，以针对任何控制器的固件变更发出警报。资产组可用作多种策略类型的策略条件。资产组可用于指定各种策略类型的“源”资产、“目标”资产或“受影响的资产”。

查看资产组

“资产组”屏幕显示系统中当前配置的所有资产组。“预定义资产组”选项卡包含内置于系统中您无法编辑、复制或删除的组。“用户定义的资产组”选项卡包含用户创建的自定义组。您可以编辑、复制或删除这些组。

“资产组”表格显示以下信息：

参数	描述
状态	显示策略是打开还是关闭。如果系统由于生成过多事件而自动禁用该策略，则会显示一个警告图标。切换状态开关，以打开/关闭某个策略。
名称	策略的名称。
严重程度	事件的严重程度。可能的值为：无、低危、中危或高危。请参阅“严重程度级别”部分了解更多信息。
事件类型	触发此事件策略的事件类型。
类别	触发此事件策略的事件类别。可能的值为：配置、SCADA、网络威胁或网络事件。有关各种类别的说明，请参阅“策略类别和子类别”。
源	策略条件。应用策略的源资产组。资产组是指发起活动的资产。
名称	用于识别组的名称。
类型	组类型。选项包括：功能：为实现特定功能而创建的预定义资产组。资产列表：组内包含的特定资产。 IP 列表：具有指定 IP 地址的资产。 IP 范围：指定 IP 地址范围内的资产。
成员	显示包含在此组中的资产列表。未出现功能组的值。注意：如果没有空间可以显示此行中的所有资产，则单击“表格操作”>“查看”>“成员”选项卡。
已在以下策略中使用	显示在其配置中使用此资产组的每个策略的名称。注意：如要查看有关使用该组的策略的更多详情，请单击“表格操作”>“查看”>“已在以下策略中使用”选项卡。
在查询中使用	显示使用此资产组的查询的名称。

下一节介绍了创建各种类型的资产组的过程。此外，您还可以查看、编辑、复制或删除现有组，详情请参阅“组操作”。

创建资产组

您可以创建要在策略配置时使用的自定义资产组。将类似的资产划分为同组有助于创建应用于组内所有资产的策略。

存在三种类型的用户定义资产组：

资产列表：指定组内包含的特定资产。
IP 列表：指定组内包含的资产的 IP 地址。
IP 范围：指定组内包含的资产的 IP 地址的范围。

每种类型的资产组都有不同的创建过程。

若要创建资产选择类型资产组，请执行以下操作：

转至“组”>“资产组”。
单击“创建资产组”。

此时会出现“创建资产组”面板。
单击“资产选择”。
单击“下一步”。

此时会显示“可用资产”列表。
在“名称”框中，输入组名称。

选择一个说明通用元素的名称，该元素用于对组中包含的资产进行分类。
选中要包括在组中的每个资产旁边的复选框。
点击“创建”。

OT 安全会创建新的资产组并在“资产组”屏幕上显示。现在便可在配置策略时使用此组。

若要创建 IP 范围类型资产组，请执行以下操作：

转至“组”>“资产组”。
单击“创建资产组”。

此时会出现“创建资产组”面板。
单击“IP 范围”。
单击“下一步”。

此时会出现“IP 范围选择”面板。
在“名称”框中，输入组名称。

选择一个说明通用元素的名称，该元素用于对组中包含的资产进行分类。
在“起始 IP”框中，输入要包括的范围开头的 IP 地址。
在“结束 IP”框中，输入要包括的范围结束的 IP 地址。
点击“创建”。

OT 安全会创建新的资产组并在“资产组”屏幕上显示。现在便可在配置策略时使用此组。

若要创建 IP 列表类型资产组，请执行以下操作：

转至“组”>“资产组”。
单击“创建资产组”。

此时会出现“创建资产组”面板。
单击“IP 列表”。
单击“下一步”。

此时会出现“IP 列表”面板。
在“名称”框中，输入组名称。

选择一个说明通用元素的名称，该元素用于对组中包含的资产进行分类。
在“IP 列表”框中，输入要包含在组中的 IP 地址或子网。
要向组添加更多资产，请在单独的行内输入各个其他 IP 地址或子网。
点击“创建”。

OT 安全会创建新的资产组并在“资产组”屏幕上显示。现在便可在配置策略时使用此组。

网段

借助网段，您可以创建相关网络资产组，从而在逻辑上将一个资产组与另一个资产组隔离。OT 安全会自动将与网络中某项资产关联的每个 IP 地址分配给一个网段。对于具有多个 IP 地址的资产，每个 IP 都与一个网段相关联。每个自动生成的段都包括具有相同 C 类网络地址（即 IP 具有相同的前 24 位）IP 的特定类别（控制器、OT 服务器、网络设备等）的所有资产。

可以创建用户定义的网段，并指定将哪些资产分配给该段。“清单”屏幕上某一列会显示每项资产的网段，便于轻松按照网段对资产进行排序和筛选。

查看网段

“网段”屏幕显示系统中当前配置的所有网段。“自动生成”选项卡包含系统自动生成的网段。“用户定义”选项卡包含用户创建的网段。

“网段”表显示以下详细信息：

参数	描述
名称	用于识别网段的名称。
VLAN	网段的 VLAN 编号。（可选）
描述	网段的说明。（可选）
已在以下策略中使用	显示适用于此网段的策略名称。注意：如要查看有关使用该网段的策略的更多详情，请单击“操作”>“查看”>“已在以下策略中使用”选项卡。

您可以查看、编辑、复制或删除现有网段。有关更多信息，请参阅“组操作”。

创建网段

可以创建要在策略配置中使用的网段。通过将相关网络资产组合在一起，可以创建为该段中的资产定义可接受的网络流量的策略。

若要创建网段，请执行以下操作：

转至“组”>“网段”。
单击“创建网段”。

此时会出现“创建网段”面板。
在“名称”框中，为该网段输入一个名称。
（可选）在“VLAN”框中，为该网段输入一个 VLAN 编号。
（可选）在“说明”框中，输入网段说明。
点击“创建”。

OT 安全会创建新的网段并在网段列表中显示该网段。
若要将资产分配给新创建的网段，请执行以下操作：
1. 转至“清单”>“所有资产”。
2. 请执行下列操作之一：
  - 右键单击要分配给新建网段的资产，然后选择“编辑”。
  - 将鼠标悬停在要分配的资产上，然后从“操作”菜单中选择“编辑”。
  此时会打开“编辑资产详细信息”窗口。
在“网段”下拉框中，选择所需的网段。

注意：部分资产具有多个关联的 IP 地址，可以为每个地址选择需要的网段。

OT 安全将网段应用到资产并在“网段”列中显示该网段。现在便可在配置策略时使用此网段。

电子邮件组

电子邮件组是相关方的电子邮件组。电子邮件组用于指定由特定策略触发的事件通知的收件人。例如，按角色、部门等分组便于将特定策略事件的通知发送给相关方。

查看电子邮件组

“电子邮件组”屏幕显示系统中当前配置的所有电子邮件组。

“电子邮件组”表格显示以下信息：

注意：您可以通过选择组并单击“操作”>“查看”，来查看关于某个特定组的更多详细信息。

参数	描述
名称	用于识别组的名称。
电子邮件地址	组中包含的电子邮件列表。注意：如果没有空间可以显示组的所有成员，请单击“操作”>“查看”>“成员”选项卡。
电子邮件服务器	用于向组发送电子邮件的 SMTP 服务器的名称。
已在以下策略中使用	显示通知已发送至此组的策略名称。注意：如要查看有关使用该组的策略的更多详情，请单击“操作”>“查看”>“已在以下策略中使用”选项卡。

此外，您还可以查看、编辑、复制或删除现有组。有关更多信息，请参阅“组操作”。

创建电子邮件组

可以创建要在策略配置中使用的电子邮件组。通过对相关电子邮件进行分组，可以设置要发送给所有相关人员的策略事件通知。

注意：您只能为每个策略分配一个电子邮件组。因此，创建广泛的、包容性的组以及特定的、受限组非常有用，如此便可为每个策略分配适当的组。

若要创建电子邮件组，请执行以下操作：

转至“组”>“电子邮件组”。
单击“创建电子邮件组”。

此时会出现“创建电子邮件组”面板。
在“名称”框中，输入组名称。
在“SMTP 服务器”下拉框中，选择用于发送电子邮件通知的服务器。

注意：如果系统中未配置 SMTP 服务器，则必须首先配置服务器，才能创建电子邮件组，详情请参阅“SMTP 服务器”。
在“电子邮件”框中，在单独的行中输入组内每个成员的电子邮件。
点击“创建”。

OT 安全会创建新的电子邮件组并在“电子邮件组”页面上显示该组。现在便可在配置策略时使用此组。

端口组

端口组是网络中的资产使用的端口组。端口组用作定义“已打开的端口”网络事件策略的策略条件，可检测网络中的已打开的端口。

“预定义”选项卡可显示系统中预定义的端口组。这些组包含预期在特定供应商的控制器上开放的端口。例如，Group Siemens PLC 已打开的端口包括：20、21、80、102、443 和 502。这可配置用于检测预期不会针对该供应商的控制器开放的已打开的端口的策略。这些组无法编辑或删除，但可以复制。

“用户定义”选项卡包含用户创建的自定义组。您可以编辑、复制或删除这些组。

查看端口组

“查看端口组”表格包含以下详细信息：

参数

描述

名称

用于识别组的名称。

TCP 端口

组中包含的端口列表和/或端口范围。

注意：如果表格未显示组的所有成员，请单击“操作”>“查看”>“成员”选项卡以查看所有成员。

已在以下策略中使用

显示在其配置中使用此端口组的每个策略的名称。

注意：如要查看有关使用此组的策略的其他信息，请单击“操作”>“查看”>“已在以下策略中使用”选项卡。

创建端口组

您可以创建要在策略配置中使用的用户定义的端口组。将类似的端口分为同组有助于创建针对造成特定安全风险的已打开的端口发出警报的策略。

若要创建端口组，请执行以下操作：

转至“组”>“端口组”。
单击“创建端口组”。

此时会出现“创建端口组”面板。
在“名称”框中，输入组名称。
在“TCP 端口”框中，输入要包含在组中的单个端口或一系列端口。
若要向组添加其他端口，请执行以下操作：
1. 单击“+ 添加端口”。
  
  此时会出现一个新的“端口选择”框。
2. 在新的“端口号”框中，输入要包含在组中的单个端口或一系列端口。
点击“创建”。

OT 安全会创建新的端口组并在“端口组”列表中显示端口组。现在便可在配置策略时使用此组。

协议组

协议组是在网络中的资产之间进行对话所依据的一组协议。协议组用作网络策略的策略条件，可以定义特定资产之间使用哪项协议触发策略。

OT 安全随附了一组包含相关协议的预定义协议组。这些组可用于策略。您无法编辑或删除这些组。您可以按照特定供应商允许的协议对协议进行分组。

例如，Schneider 允许的协议包括：TCP:80 (HTTP)、TCP:21 (FTP)、Modbus、Modbus_UMAS、Modbus_MODICON、TCP:44818 (CIP)、UDP:69 (TFTP)、UDP:161 (SNMP)、UDP :162 (SNMP)、UDP:44818、UDP:67-68 (DHCP)。您也可以按照协议类型（如 Modbus、PROFINET、CIP 等）对其进行分组。您还可以创建专属的用户定义的协议组。

查看协议组

“协议组”屏幕显示系统中当前配置的所有协议组。“预定义”选项卡可显示内置于系统当中的组。您无法编辑或删除这些组，但您可以复制它们。“用户定义”选项卡会显示您创建的自定义组。您可以编辑、复制或删除这些组。

“协议组”表格显示以下详细信息：

参数

描述

名称

用于识别组的名称。

协议

组中包含的协议的列表。

注意：如果您无法查看组的所有成员，请单击“操作”>“查看”>“成员”选项卡。

已在以下策略中使用

显示在其配置中使用此协议组的每个策略的名称。

注意：如要查看有关使用此组的策略的其他详细信息，请单击“操作”>“查看”>“已在以下策略中使用”选项卡。

创建协议组

您可以创建要在策略配置中使用的自定义协议组。通过将类似的协议分为同组，您可以创建定义哪些协议可疑的策略。

若要创建协议组，请执行以下操作：

转至“组”>“协议组”。
单击“创建协议组”。

此时会出现“创建协议组”。
在“名称”框中，输入组名称。
在“协议”下拉框中，选择协议类型。
如果所选协议为 TCP 或 UDP，则在“端口”框中输入端口号或端口范围。

对于其他协议类型，您无需在“端口”框中输入任何值。
若要向组添加其他协议，请执行以下操作：
1. 单击“+ 添加协议”。
  
  此时会出现一个新的“协议选择”框。
2. 按照步骤 4-5 中所述的方式填写新的协议选择。
点击“创建”。

OT 安全会创建新的协议组并在“协议组”列表中显示这些组。现在便可在配置策略时使用此组。

计划组

计划组定义了一个或一组时间范围，这些时间范围组具有特定特征，使得在该时间期间发生的活动值得关注。例如，某些活动预计在工作时间内发生，而其他活动预计在停机时间发生。

查看计划组

“计划组”屏幕显示系统中当前配置的所有计划组。“预定义计划组”选项卡包含内置于系统当中的组。您无法编辑、复制或删除这些组。“用户定义计划组”选项卡会显示您创建的自定义组。您可以编辑、复制或删除这些组。

“计划组”表格显示以下详细信息：

参数	描述
名称	用于识别组的名称。
类型	组类型。选项包括：功能：为实现特定功能而创建的预定义计划组。反复：每日或每周重复的计划。例如，可将工作时间计划定义为星期一至星期五的上午 9 点至下午 5 点。间隔：在特定日期或日期范围发生的计划。例如，可以按照 6 月 1 日至 8 月 15 日的时间期限制定工厂翻新计划。
时间范围	计划设置的摘要。注意：如果您无法查看组的所有成员，请单击“操作”>“查看”>“成员”选项卡。
已在以下策略中使用	显示在其配置中使用此计划组的每个策略的策略 ID。注意：如要查看有关使用此组的策略的其他详细信息，请单击“操作”>“查看”>“已在以下策略中使用”选项卡。

创建计划组

可以创建要在策略配置中使用的自定义计划组。指定一个或一组共享某些特征的时间范围，以强调在该时间期间发生的事件。

计划组类型包含两种：

反复：每周重复发生的计划。例如，可将工作时间计划定义为星期一至星期五的上午 9 点至下午 5 点。
一次性：在特定日期或日期范围发生的计划。例如，可以按照 6 月 1 日至 8 月 15 日的时间期限制定工厂翻新计划。每种类型的计划组都有不同的创建过程。

每种类型的计划组都有不同的创建过程。

若要创建反复类型计划组，请执行以下操作：

转至“组”>“计划组”。

此时会出现“计划组”页面。
单击“创建计划组”。

此时会出现“创建计划组”面板。

单击“反复”。
单击“下一步”。

此时会显示用于定义反复计划组的参数。
在“名称”框中，输入组名称。
在“重复”框中，选择一周中的哪些天包括在计划组中。

选项包括“每天”、“星期一至星期五”或一周中的特定日期。

注意：如果您要包括一周中的特定日期，例如星期一和星期三，则需要为每一天添加一个单独条件。
在“开始时间”框中，输入计划组中所含时间范围的开始时间 (HH:MM:SS AM/PM)。
在“结束时间”框中，输入计划组中所含时间范围的结束时间 (HH:MM:SS AM/PM)。
若要向计划组添加其他条件（即其他时间范围），请执行以下操作：
1. 单击“+ 添加条件”。
  
  此时会出现一行新的计划选择参数。
2. 按照上述步骤 5-7 所述填写计划字段。
点击“创建”。

OT 安全会创建新的计划组并在“计划组”列表中显示这些组。现在便可在配置策略时使用此组。

若要创建一次性计划组，请执行以下操作：

转至“组”>“计划组”。
单击“创建计划组”。

此时会出现“创建计划组”向导。
选择“时间范围”。
单击“下一步”。

此时会显示用于定义时间范围计划组的参数。
在“名称”框中，输入组名称。
在“开始日期”框中，单击日历图标。

此时日历窗口打开。
选择计划组开始的日期。默认：当前日期。
在“开始时间”框中，输入计划组中所含时间范围的开始时间 (HH:MM:SS AM/PM)。
在“结束日期”框中，单击日历图标。

此时日历窗口打开。
选择计划组结束的日期。（默认：当前日期）
在“结束时间”框中，输入计划组中所含时间范围的结束时间 (HH:MM:SS AM/PM)。
点击“创建”。

OT 安全会创建新的计划组并在“计划组”列表中显示该组。现在便可在配置策略时使用此组。

标签组

标签是包含特定操作数据的控制器中的参数。标签组可用作 SCADA 事件策略的策略条件。通过将角色相似的标签分为同组，您可以创建策略来检测对指定参数的可疑更改。例如，通过将控制熔炉温度的标签分为同组，可以创建一个策略来检测可能对熔炉造成危害的温度变化。

查看标签组

“标签组”屏幕显示系统中当前配置的所有标签组。

“标签组”表格显示以下详细信息：

参数	描述
名称	用于识别组的名称。
类型	标签的数据类型。可能的值包括 Bool、Dint、Float、Int、Long、Short、Unknown（针对 OT 安全无法识别的标签类型）或任意类型（可包括不同类型的标签）。
控制器	正在监控标签的控制器。
标签	显示组中包含的每个标签，及其所在控制器的名称。注意：如果您无法查看此行中的所有标签，请单击“操作”>“查看”>“成员”选项卡。
已在以下策略中使用	显示在其配置中使用此计划组的每个策略的策略 ID。注意：如要查看有关使用此组的策略的其他详细信息，请单击“操作”>“查看”>“已在以下策略中使用”选项卡。