组

查看组

要查看组：

1. 在左侧导航栏中，单击“组”。

   “组”部分随即展开，并显示组类型。

   

在“组”下，您可以查看系统中已配置的所有组。组分为以下两类：

• 预定义的组：经过预先配置，无法编辑。

• 用户定义的组：您可以创建和编辑这些组。

存在多种不同类型的组，每种类型均可用于配置各种策略类型。每个组类型都显示在“组”下的单独屏幕上。组类型包括：

• 资产组和标签：资产是网络中的硬件实体。资产组可用作多种策略类型的策略条件。

• 网段：网段是一种用于创建相关网络资产组的方法，以帮助在逻辑上将一个资产组与另一个资产组隔离。

• 电子邮件组：发生策略事件时收到通知的电子邮件组。适用于所有策略类型。

• 端口组：网络中的资产使用的端口组。用于识别开放端口的策略。

• 协议组：在网络中的资产之间进行对话所依据的协议组。用作网络事件的策略条件。

• 计划组：计划组定义的是用于配置指定事件必须在什么时间发生才能满足策略条件的时间范围。

• 控制器标签组：标签是控制器中包含特定操作数据的参数。标签组可用作 SCADA 事件的策略条件。

• 规则组：规则组由一组相关的规则组成，可以通过其 Suricata 签名 ID (SID) 进行标识。这些组可以用作定义入侵检测策略的策略条件。

以下各节说明了创建每种类型的组的过程。此外，您还可以查看、编辑、复制或删除现有组，详情请参阅“组操作”。

资产组

资产是网络中的硬件实体。将类似的资产划分为同组有助于创建应用于组内所有资产的策略。例如，可以使用资产组“控制器”创建策略，以针对任何控制器的固件变更发出警报。资产组可用作多种策略类型的策略条件。资产组可用于指定各种策略类型的“源”资产、“目标”资产或“受影响的资产”。

查看资产组

“资产组”屏幕显示系统中当前配置的所有资产组。“预定义资产组”选项卡包含内置于系统中您无法编辑、复制或删除的组。“用户定义的资产组”选项卡包含用户创建的自定义组。您可以编辑、复制或删除这些组。

“资产组”表格显示以下信息：

参数	描述
状态	显示策略是打开还是关闭。如果系统由于生成过多事件而自动禁用该策略，则会显示一个警告图标。切换状态开关，以打开/关闭某个策略。
ID	分配给资产组的 ID。
名称	策略的名称。
显示标签	按下切换开关即可在“清单”>“所有资产”页面上显示标签。
严重程度	事件的严重程度。可能的值为：无、低危、中危或高危。请参阅“严重程度级别”部分了解更多信息。
来源	资产组的来源：“用户定义”或“系统定义”。
事件类型	触发此事件策略的事件类型。
类别	触发此事件策略的事件类别。可能的值为：配置、SCADA、网络威胁或网络事件。有关各种类别的说明，请参阅“策略类别和子类别”。
源	策略条件。应用策略的源资产组。资产组是指发起活动的资产。
名称	用于识别组的名称。
类型	组类型。选项包括： 功能：为实现特定功能而创建的预定义资产组。 资产列表：组内包含的特定资产。 IP 列表：具有指定 IP 地址的资产。 IP 范围：指定 IP 地址范围内的资产。
类型	组类型。选项为“静态”或“动态”。
成员	显示包含在此组中的资产列表。未出现功能组的值。 注意：如果没有空间可以显示此行中的所有资产，则单击“表格操作”>“查看”>“成员”选项卡。
已在以下策略中使用	显示在其配置中使用此资产组的每个策略的名称。 注意：如要查看有关使用该组的策略的更多详情，请单击“表格操作”>“查看”>“已在以下策略中使用”选项卡。
在查询中使用	显示使用此资产组的查询的名称。
已在以下区域中使用	显示使用此资产组的区域的名称。

下一节介绍了创建各种类型的资产组的过程。此外，您还可以查看、编辑、复制或删除现有组，详情请参阅“组操作”。

网段

借助网段，您可以创建相关网络资产组，从而在逻辑上将一个资产组与另一个资产组隔离。OT Security 会自动将与网络中某项资产关联的每个 IP 地址分配给一个网段。对于具有多个 IP 地址的资产，每个 IP 都与一个网段相关联。每个自动生成的段都包括具有相同 C 类网络地址（即 IP 具有相同的前 24 位）IP 的特定类别（控制器、OT 服务器和网络设备）的所有资产。

可以创建用户定义的网段，并指定将哪些资产分配给该段。“清单”屏幕上某一列会显示每项资产的网段，便于轻松按照网段对资产进行排序和筛选。

创建网段

可以创建要在策略配置中使用的网段。通过将相关网络资产组合在一起，可以创建为该段中的资产定义可接受的网络流量的策略。

若要创建网段，请执行以下操作：

1. 转至“组”>“网段”。

2. 单击“创建网段”。

   此时会出现“创建网段”面板。

3. 在“名称”框中，为该网段输入一个名称。

4. （可选）在“VLAN”框中，为该网段输入一个 VLAN 编号。

5. （可选）在“说明”框中，输入网段说明。

6. 点击“创建”。

   OT Security 会创建新的网段并在网段列表中显示该网段。

7. 若要将资产分配给新创建的网段，请执行以下操作：

   1. 转至“清单”>“所有资产”。

   2. 请执行下列操作之一：

      • 右键单击要分配给新建网段的资产，然后选择“编辑”。

      • 将鼠标悬停在要分配的资产上，然后从“操作”菜单中选择“编辑”。

      此时会打开“编辑资产详细信息”窗口。

8. 在“网段”下拉框中，选择所需的网段。

   注意：部分资产具有多个关联的 IP 地址，可以为每个地址选择需要的网段。

   OT Security 将网段应用到资产并在“网段”列中显示该网段。现在便可在配置策略时使用此网段。

电子邮件组

电子邮件组是相关方的电子邮件组。电子邮件组用于指定由特定策略触发的事件通知的收件人。例如，按角色和部门进行分组便于您将特定策略事件的通知发送给相关方。

查看电子邮件组

“电子邮件组”屏幕显示系统中当前配置的所有电子邮件组。

“电子邮件组”表格显示以下信息：

注意：您可以通过选择组并单击“操作”>“查看”，来查看关于某个特定组的更多详细信息。

参数	描述
名称	用于识别组的名称。
电子邮件地址	组中包含的电子邮件列表。 注意：如果没有空间可以显示组的所有成员，请单击“操作”>“查看”>“成员”选项卡。
电子邮件服务器	用于向组发送电子邮件的 SMTP 服务器的名称。
已在以下策略中使用	显示通知已发送至此组的策略名称。 注意：如要查看有关使用该组的策略的更多详情，请单击“操作”>“查看”>“已在以下策略中使用”选项卡。

此外，您还可以查看、编辑、复制或删除现有组。有关更多信息，请参阅“组操作”。

创建电子邮件组

可以创建要在策略配置中使用的电子邮件组。通过对相关电子邮件进行分组，可以设置要发送给所有相关人员的策略事件通知。

注意：您只能为每个策略分配一个电子邮件组。因此，创建广泛的、包容性的组以及特定的、受限组非常有用，如此便可为每个策略分配适当的组。

若要创建电子邮件组，请执行以下操作：

1. 转至“组”>“电子邮件组”。

2. 单击“创建电子邮件组”。

   此时会出现“创建电子邮件组”面板。

3. 在“名称”框中，输入组名称。

4. 在“SMTP 服务器”下拉框中，选择用于发送电子邮件通知的服务器。

   注意：如果系统中未配置 SMTP 服务器，则必须首先配置服务器，才能创建电子邮件组，详情请参阅“SMTP 服务器”。

5. 在“电子邮件”框中，在单独的行中输入组内每个成员的电子邮件。

6. 点击“创建”。

   OT Security 会创建新的电子邮件组并在“电子邮件组”页面上显示该组。现在便可在配置策略时使用此组。

端口组

端口组是网络中的资产使用的端口组。端口组用作定义“开放端口”网络事件策略的策略条件，可检测网络中的开放端口。

“预定义”选项卡可显示系统中预定义的端口组。这些组包含预期在特定供应商的控制器上开放的端口。例如，Group Siemens PLC 开放端口包括：20、21、80、102、443 和 502。这可配置用于检测预期不会针对该供应商的控制器开放的开放端口的策略。这些组无法编辑或删除，但可以复制。

“用户定义”选项卡包含用户创建的自定义组。您可以编辑、复制或删除这些组。

查看端口组

“查看端口组”表格包含以下详细信息：

参数	描述
名称	用于识别组的名称。
TCP 端口	组中包含的端口列表和/或端口范围。 注意：如果表格未显示组的所有成员，请单击“操作”>“查看”>“成员”选项卡以查看所有成员。
已在以下策略中使用	显示在其配置中使用此端口组的每个策略的名称。 注意：如要查看有关使用此组的策略的其他信息，请单击“操作”>“查看”>“已在以下策略中使用”选项卡。

创建端口组

您可以创建要在策略配置中使用的用户定义的端口组。将类似的端口分为同组有助于创建针对造成特定安全风险的开放端口发出警报的策略。

若要创建端口组，请执行以下操作：

1. 转至“组”>“端口组”。

2. 单击“创建端口组”。

   此时会出现“创建端口组”面板。

3. 在“名称”框中，输入组名称。

4. 在“TCP 端口”框中，输入要包含在组中的单个端口或一系列端口。

5. 若要向组添加其他端口，请执行以下操作：

   1. 单击“+ 添加端口”。

      此时会出现一个新的“端口选择”框。

   2. 在新的“端口号”框中，输入要包含在组中的单个端口或一系列端口。

6. 点击“创建”。

   OT Security 会创建新的端口组并在“端口组”列表中显示端口组。现在便可在配置策略时使用此组。

协议组

协议组是在网络中的资产之间进行对话所依据的一组协议。协议组用作网络策略的策略条件，可以定义特定资产之间使用哪项协议触发策略。

OT Security 随附了一组包含相关协议的预定义协议组。这些组可用于策略。您无法编辑或删除这些组。您可以按照特定供应商允许的协议对协议进行分组。

例如，Schneider 允许的协议包括：TCP:80 (HTTP)、TCP:21 (FTP)、Modbus、Modbus_UMAS、Modbus_MODICON、TCP:44818 (CIP)、UDP:69 (TFTP)、UDP:161 (SNMP)、UDP :162 (SNMP)、UDP:44818、UDP:67-68 (DHCP)。您也可以按照协议类型（例如 Modbus、PROFINET 和 CIP）对其进行分组。您还可以创建专属的用户定义的协议组。

查看协议组

“协议组”屏幕显示系统中当前配置的所有协议组。“预定义”选项卡可显示内置于系统当中的组。您无法编辑或删除这些组，但您可以复制它们。“用户定义”选项卡会显示您创建的自定义组。您可以编辑、复制或删除这些组。

“协议组”表格显示以下详细信息：

参数	描述
名称	用于识别组的名称。
协议	组中包含的协议的列表。 注意：如果您无法查看组的所有成员，请单击“操作”>“查看”>“成员”选项卡。
已在以下策略中使用	显示在其配置中使用此协议组的每个策略的名称。 注意：如要查看有关使用此组的策略的其他详细信息，请单击“操作”>“查看”>“已在以下策略中使用”选项卡。

创建协议组

您可以创建要在策略配置中使用的自定义协议组。通过将类似的协议分为同组，您可以创建定义哪些协议可疑的策略。

若要创建协议组，请执行以下操作：

1. 转至“组”>“协议组”。

2. 单击“创建协议组”。

   此时会出现“创建协议组”。

3. 在“名称”框中，输入组名称。

4. 在“协议”下拉框中，选择协议类型。

5. 如果所选协议为 TCP 或 UDP，则在“端口”框中输入端口号或端口范围。

   对于其他协议类型，您无需在“端口”框中输入任何值。

6. 若要向组添加其他协议，请执行以下操作：

   1. 单击“+ 添加协议”。

      此时会出现一个新的“协议选择”框。

   2. 按照步骤 4-5 中所述的方式填写新的协议选择。

7. 点击“创建”。

   OT Security 会创建新的协议组并在“协议组”列表中显示这些组。现在便可在配置策略时使用此组。

计划组

计划组定义了一个或一组时间范围，这些时间范围组具有特定特征，使得在该时间期间发生的活动值得关注。例如，某些活动预计在工作时间内发生，而其他活动预计在停机时间发生。

查看计划组

“计划组”屏幕显示系统中当前配置的所有计划组。“预定义计划组”选项卡包含内置于系统当中的组。您无法编辑、复制或删除这些组。“用户定义计划组”选项卡会显示您创建的自定义组。您可以编辑、复制或删除这些组。

“计划组”表格显示以下详细信息：

参数	描述
名称	用于识别组的名称。
类型	组类型。选项包括： 功能：为实现特定功能而创建的预定义计划组。 反复：每日或每周重复的计划。例如，可将工作时间计划定义为星期一至星期五的上午 9 点至下午 5 点。 间隔：在特定日期或日期范围发生的计划。例如，可以按照 6 月 1 日至 8 月 15 日的时间期限制定工厂翻新计划。
时间范围	计划设置的摘要。 注意：如果您无法查看组的所有成员，请单击“操作”>“查看”>“成员”选项卡。
已在以下策略中使用	显示在其配置中使用此计划组的每个策略的策略 ID。 注意：如要查看有关使用此组的策略的其他详细信息，请单击“操作”>“查看”>“已在以下策略中使用”选项卡。

创建计划组

可以创建要在策略配置中使用的自定义计划组。指定一个或一组共享某些特征的时间范围，以强调在该时间期间发生的事件。

计划组类型包含两种：

• 反复：每周重复发生的计划。例如，可将工作时间计划定义为星期一至星期五的上午 9 点至下午 5 点。

• 一次性：在特定日期或日期范围发生的计划。例如，可以按照 6 月 1 日至 8 月 15 日的时间期限制定工厂翻新计划。每种类型的计划组都有不同的创建过程。

每种类型的计划组都有不同的创建过程。

若要创建反复类型计划组，请执行以下操作：

1. 转至“组”>“计划组”。

   此时会出现“计划组”页面。

2. 单击“创建计划组”。

   此时会出现“创建计划组”面板。

3. 单击“反复”。

4. 单击“下一步”。

   此时会显示用于定义反复计划组的参数。

5. 在“名称”框中，输入组名称。

6. 在“重复”框中，选择一周中的哪些天包括在计划组中。

   选项包括“每天”、“星期一至星期五”或一周中的特定日期。

   注意：如果您要包括一周中的特定日期，例如星期一和星期三，则需要为每一天添加一个单独条件。

7. 在“开始时间”框中，输入计划组中所含时间范围的开始时间 (HH:MM:SS AM/PM)。

8. 在“结束时间”框中，输入计划组中所含时间范围的结束时间 (HH:MM:SS AM/PM)。

9. 若要向计划组添加其他条件（即其他时间范围），请执行以下操作：

   1. 单击“+ 添加条件”。

      此时会出现一行新的计划选择参数。

   2. 按照上述步骤 5-7 所述填写计划字段。

10. 点击“创建”。

    OT Security 会创建新的计划组并在“计划组”列表中显示这些组。现在便可在配置策略时使用此组。

若要创建一次性计划组，请执行以下操作：

1. 转至“组”>“计划组”。

2. 单击“创建计划组”。

   此时会出现“创建计划组”向导。

3. 选择“时间范围”。

4. 单击“下一步”。

   此时会显示用于定义时间范围计划组的参数。

5. 在“名称”框中，输入组名称。

6. 在“开始日期”框中，单击日历图标 。

   此时日历窗口打开。

7. 选择计划组开始的日期。默认：当前日期。

8. 在“开始时间”框中，输入计划组中所含时间范围的开始时间 (HH:MM:SS AM/PM)。

9. 在“结束日期”框中，单击日历图标 。

   此时日历窗口打开。

10. 选择计划组结束的日期。（默认：当前日期）

11. 在“结束时间”框中，输入计划组中所含时间范围的结束时间 (HH:MM:SS AM/PM)。

12. 点击“创建”。

    OT Security 会创建新的计划组并在“计划组”列表中显示该组。现在便可在配置策略时使用此组。

标签组

标签是控制器中包含特定操作数据的参数。控制器标签组可用作 SCADA 事件策略的策略条件。通过将角色相似的标签分为同组，您可以创建策略来检测对指定参数的可疑更改。例如，通过将控制熔炉温度的标签分为同组，可以创建一个策略来检测可能对熔炉造成危害的温度变化。

查看控制器标签组

“控制器标签组”页面显示系统中当前配置的所有标签组。

“控制器标签组”表格显示以下详细信息：

参数	描述
名称	用于识别组的名称。
类型	标签的数据类型。可能的值包括 Bool、Dint、Float、Int、Long、Short、Unknown（针对 OT Security 无法识别的标签类型）或任意类型（可包括不同类型的标签）。
控制器	正在监控标签的控制器。
标签	显示组中包含的每个标签，及其所在控制器的名称。 注意：如果您无法查看此行中的所有标签，请单击“操作”>“查看”>“成员”选项卡。
已在以下策略中使用	显示在其配置中使用此计划组的每个策略的策略 ID。 注意：如要查看有关使用此组的策略的其他详细信息，请单击“操作”>“查看”>“已在以下策略中使用”选项卡。

您可以查看、编辑、复制或删除现有组，详情请参阅“组操作”。

创建控制器标签组

您可以创建在策略配置中使用的自定义控制器标签组。将类似的标签划分为同组有助于创建应用于组内所有标签的策略。选择类型相似的标签，并为其提供可以代表标签通用元素的名称。

还可以通过选择“任意类型”选项来创建包含不同类型标签的组。在这种情况下，应用于此组的策略只能检测对指定标签的“任何值”进行的更改，但不能设置为检测特定值。

您可以编辑、复制或删除控制器标签组。

若要创建新标签组，请执行以下操作：

1. 转至“组”>“标签组”。

2. 单击“创建控制器标签组”。

   此时会出现“创建控制器标签组”面板。

3. 选择一种标签类型。

   选项包括 Bool、Dint、Float、Int、Long、Short 或任意类型（可包含不同类型的标签）。

4. 单击“下一步”。

   此时会显示网络中的控制器列表。

5. 选择要在组中包含标签的控制器。

6. 单击“下一步”。

   此时会显示指定控制器上指定类型的标签列表。

7. 在“名称”框中，输入组名称。

8. 选中要包括在组中的每个标签旁边的复选框。

9. 点击“创建”。

   OT Security 会创建新的标签组并显示在“控制器标签组”列表中。现在便可在配置 SCADA 事件策略时使用此组。

规则组

规则组由一组相关的规则组成，可以通过其 Suricata 签名 ID (SID) 进行标识。这些组可以用作定义入侵检测策略的策略条件。

OT Security 可以提供一系列包含相关漏洞的预定义组。此外，您可以从我们的漏洞库中选择各个规则并创建自己的自定义规则组。

查看规则组

“规则组”屏幕显示系统中当前配置的所有规则组。“预定义”选项卡包含内置于系统当中的组。您无法编辑、复制或删除这些组。“用户定义”选项卡会显示用户创建的自定义组。您可以编辑、复制或删除这些组。

“规则组”表格显示以下详细信息：

参数	描述
名称	用于识别组的名称。
规则数	组成此规则组的规则 (SID) 的数量。
已在以下策略中使用	显示在其配置中使用此规则组的每个策略的策略 ID。 注意：如要查看有关使用此组的策略的其他详细信息，请单击“操作”>“查看”>“已在以下策略中使用”选项卡。

创建规则组

若要创建新规则组，请执行以下操作：

1. 转至“组”>“规则组”。

2. 单击“创建规则组”。

   此时会出现“创建规则组”面板。

3. 在“名称”框中，输入组名称。

4. 在“可用规则”部分，选中要包括在组中的每个规则旁边的复选框。

   注意：使用搜索框查找所需规则。

5. 点击“创建”。

   OT Security 会创建新的规则组并在“规则组”列表中显示该组。现在便可在配置入侵检测策略时使用此组。

组操作

当您在任何“组”屏幕上选择某个组时，您可在屏幕顶部的“操作”菜单中执行以下操作：

• 查看：显示所选组的详细信息，例如该组中包含哪些实体，以及哪些策略使用该组作为策略条件。请参阅“查看组的详细信息”

• 编辑：编辑组的详细信息。请参阅“编辑组”

• 复制：使用与指定组类似的配置创建新组。请参阅“复制组”

• 删除：从系统中删除组。请参阅“删除组”

  注意：您无法编辑或删除预定义的组。某些预定义的组也无法复制。您也可通过右键单击“组”来访问“操作”菜单。

查看组的详细信息

当您在选择某个组并单击“操作”>“查看”时，系统会显示所选组的“组详细信息”屏幕。

“组详细信息”屏幕的标题栏显示了该组的名称和类型。该屏幕还有两个选项卡：

• “成员”：显示组内所有成员的列表。

• “已在以下策略中使用”：显示使用指定组作为策略条件的每个策略的列表。策略列表包含用于打开/关闭策略的切换开关。有关更多信息，请参阅“查看策略”。

若要查看组的详细信息，请执行以下操作：

1. 在“组”中，选择所需的组类型。

   此时会出现所选组类型的页面

2. 选择您要查看的组。

   OT Security 会启用“操作”按钮。

3. 请执行下列操作之一：

   • 单击“操作”，然后选择“查看”。

   • 右键单击所需组，然后选择“查看”。

4. 选择“查看”。

   此时会出现“组详细信息”页面。

编辑组

可以编辑现有组的详细信息。

要编辑组的详细信息，请执行以下操作：

1. 在“组”中，选择所需的组类型。

   此时会出现所选组类型的页面

2. 在“组”页面中，选择您要编辑的组。

   OT Security 会启用“操作”按钮。

3. 请执行下列操作之一：

   • 单击“操作”，然后选择“编辑”。

   • 右键单击所需组，然后选择“编辑”。

4. 选择“编辑”。

5. 此时会显示“编辑组”窗口，显示指定组类型的相关参数。

6. 根据需要进行修改。

7. 单击“保存”。

   OT Security 将组与新设置一起保存。

复制组

如要使用与现有组类似的设置创建新组，则可以“复制”现有组。复制组时，除原始组外，也会以新名称保存新组。

若要复制组，请执行以下操作：

1. 在“组”中，选择所需的组类型。

   此时会出现所选组类型的页面。

2. 选择您要复制的组。

   OT Security 会启用“操作”按钮。

3. 请执行下列操作之一：

   • 单击“操作”，然后选择“复制”。

   • 右键单击所需组，然后选择“复制”。

4. 选择“复制”。

   此时会显示“复制组”窗口，显示指定组类型的相关参数。

5. 在“名称”框中，输入新组的名称。默认情况下，新组名为原始组名称的副本，即“Copy of”。

6. 对组设置进行所需的更改。

7. 单击“复制”。

   除现有组外，OT Security 会使用新设置保存新组。

删除组

可以删除用户定义的组，但不能删除预定义的组。如果用户定义的组被用作一个或多个策略的策略条件，则无法将其删除。

若要删除组，请执行以下操作：

1. 在“组”中，选择所需的组类型。

   此时会出现所选组类型的页面

2. 选择您要删除的组。

   OT Security 会启用“操作”按钮。

3. 请执行下列操作之一：

   • 单击“操作”，然后选择“删除”。

   • 右键单击所需组，然后选择“删除”。

4. 选择“删除”。

   此时会出现“确认”窗口。

5. 单击“删除”。

   OT Security 将该组从系统中永久删除。