策略

OT Security 包含用于定义网络中发生的可疑、未授权、异常或值得注意的特定事件类型的策略。当发生满足特定策略的所有策略定义条件的事件时，系统将生成事件。系统会记录事件，并且会根据为该策略配置的策略操作发出通知。

  • 基于策略的检测：会在满足由一系列事件描述符定义的策略的精确条件时触发事件。

  • 异常检测：当 OT Security 在网络中发现异常或可疑活动时触发事件。

OT Security 具有一组预定义的策略（开箱即用）。此外，您可以编辑预定义策略或定义新自定义策略。

注意：默认情况下，大多数策略处于开启状态。如要打开/关闭策略，请参阅“启用或禁用策略”。

策略配置

每个策略都包含一系列定义网络中特定行为类型的条件。这包括活动、涉及的资产和事件的时间安排等考虑因素。只有符合策略中设置的所有参数的事件才会触发该策略的事件。每个策略都有一个指定的策略操作配置，用于定义事件的严重程度、通知方法和日志记录。

组

OT Security 中策略定义的一个基本组件是使用组。配置策略时，每个策略参数均属于组，这与独立实体相反。这可以简化策略配置过程。例如，如果在一天中的特定时间（例如工作时间）在控制器上执行固件更新的活动被视为可疑活动，则不必为网络中的每个控制器创建单独的策略，创建适用于资产组控制器的单一策略即可。

策略配置使用以下类型的组：

  • 资产组：系统随附基于资产类型的预定义资产组。可以根据位置、部门、重要程度等其他因素添加自定义组。

  • 网段：系统根据资产类型和 IP 范围创建自动生成的网段。您可以创建自定义网段，定义任何具有类似通信模式的资产组。

  • 电子邮件组：对接收特定事件的电子邮件通知的多个电子邮件帐户进行分组。例如，按角色、部门等进行分组。

  • 端口组 ：以类似方式使用的组端口。例如，在 Rockwell 控制器上开放的端口。

  • 协议组：按照协议类型（例如 Modbus）、制造商（例如 Rockwell 允许的协议）等对通信协议进行分组。

  • 计划组：将多个时间范围划分为一个具有某个共同特征的计划组。例如，工作时间、周末等。

  • 标签组：对各种控制器中包含类似操作数据的标签进行分组。例如，控制熔炉温度的标签。

  • 规则组：与组相关的规则，可通过其 Suricata 签名 ID (SID) 进行标识。这些组可以用作定义入侵检测策略的策略条件。

只能使用系统中已经配置的组来定义策略。系统提供一组预定义的组。您可以编辑这些组并添加专属组，详情请参阅“组”

注意：只能使用组设置策略参数，即使希望将某个策略应用于单个实体，也必须配置仅包含该实体的组。

严重程度级别

每个策略都分配有特定的严重程度级别，而该级别指示触发事件的情况所造成的风险程度。下表介绍了各种严重程度：

严重程度 描述
无 该事件无需关注。
低 没有立即予以关注。应在方便时检查。
中 适度关注，已发生潜在危害活动。应在方便时予以处理。
高 高度关注，已发生潜在危害活动。应立即处理。

事件通知

当发生满足某项策略的条件的事件时，系统中将生成事件。“事件”部分显示“所有事件”。“策略”页面在触发事件的策略下列出事件，“清单”页面在受影响的资产下列出事件。此外，您可将策略配置为使用 Syslog 协议向外部 SIEM 和/或向指定电子邮件收件人发送事件通知。

  • Syslog 通知：Syslog 消息使用包含标准密钥和自定义密钥（经过配置，可与 OT Security 一起使用）的 CEF 协议。有关如何解释 Syslog 通知的说明，请参阅“OT Security Syslog 集成指南”。

  • 电子邮件通知：电子邮件消息包含有关生成通知的事件的详细信息，以及缓解威胁的步骤。

策略类别和子类别

OT Security 按照以下类别整理策略：

  • 配置事件：这些策略与网络中发生的活动有关。共有两个子类别：

    • 控制器验证：这些策略与网络中的控制器发生的变更有关。这可能涉及控制器状态变更，以及固件、资产属性或代码块变更。可以限制策略用于特定计划（例如，工作日期间升级固件）和/或特定控制器。

    • 控制器活动：这些策略与影响控制器状态和配置的特定工程命令有关。可以定义始终生成事件的特定活动，或指定用于生成事件的一组标准。例如，在某些时间和/或在某些控制器上执行某些活动。支持将资产、活动和计划列入屏蔽列表和允许列表。

  • 网络事件：这些策略与网络中的资产以及资产之间的通信流有关。这包括添加到网络或从网络删除的资产。它还包括网络的异常流量模式，或已被标记为引起关注的流量模式。例如，如果工程站用于与控制器通信的协议不属于预配置协议组（例如，由特定供应商制造的控制器使用的协议），则会触发事件。这些策略可限制用于特定计划和/或特定资产。为方便起见，供应商会整理特定于供应商的协议，同时您可以在策略定义中使用任何协议。

  • SCADA 事件策略：这些策略会检测设定点值的变更（可能会危害工业过程）。这些变更可能是网络攻击或人为错误所致。

  • 网络威胁策略：这些策略使用基于签名的 OT 和 IT 威胁检测，来识别表示入侵威胁的网络流量。此类检测基于已在 Suricata 威胁引擎中编目的规则。

策略类型

每个类别和子类别内都包含一系列不同的策略类型。OT Security 包括每种类型的预定义策略。您还可以针对每种类型创建专属自定义策略。下表说明了按类别分组的各种策略类型。

控制器活动与网络中发生的活动相关。即在网络中的资产之间实施的“命令”。有许多不同类型的控制器活动事件。发生活动的控制器的类型以及特定活动定义了控制器活动类型。例如，Rockwell PLC 停止、SIMATIC 代码下载、Modicon 在线会话等。

适用于控制器活动事件的“策略定义”参数（即策略条件）为“源资产”、“目标资产”和“计划”。

下表介绍了各种类型的控制器验证事件。

注意：可以通过选择“资产组”或“网段”来指定与受影响的资产、源或目标相关的策略条件。

事件类型 策略条件 描述
密钥开关变更 受影响的资产、计划 通过调整物理密钥位置对控制器状态进行了更改。目前仅支持 Rockwell 控制器。
状态变更 受影响的资产、计划 控制器从一种操作状态变为另一种。例如运行、停止、测试等。
固件版本变更 受影响的资产、计划 对控制器上运行的固件进行了更改。
模块未出现 受影响的资产、计划 检测已从背板中去除的之前识别的模块。
发现新模块 受影响的资产、计划 检测添加到现有背板的新模块。
快照不匹配 受影响的资产、计划 控制器的最新快照（捕获控制器上部署的程序的当前状态）与该控制器之前的快照不同。

下表介绍了各种类型的网络事件。

注意：可以通过选择“资产组”或“网段”来指定与受影响的资产、源或目标相关的策略条件。
事件类型 策略条件 描述
资产未出现 未出现，受影响的资产、计划 检测之前在指定时间范围内从网络中删除的“受影响资产”组中识别的资产。
重新发现的资产 失效、受影响的资产、计划 检测在处于离线状态一段时间后重新在线或开始通信的资产。
USB 配置变更 受影响的资产、计划 检测 USB 设备何时连接到基于 Windows 的工作站或从其中删除。该策略适用于指定时间范围内受影响资产组中的资产变更。
IP 冲突 计划 使用相同的 IP 地址检测网络中的多项资产。这可能表示存在网络攻击，也可能是指由网络管理不当所致。该策略适用于在指定时间范围内 OT Security 发现的 IP 冲突。
网络基线偏差 源、目标、协议、计划 检测网络基线采样期间未相互通信的资产之间的新连接。只有在系统中设置了网络基线之后，此选项才可用。如要设置初始网络基线或更新网络基线，请参阅“设置网络基线”。该策略适用于在指定时间范围内，使用“协议”组中的协议从“源”资产组中的资产到“目标”资产组中的资产的通信。
发现新资产 受影响的资产、计划 检测指定时间范围内网络中显示的“源”资产组中指定类型的新资产。
已打开的端口 受影响的资产、端口 检测网络中的新已打开的端口。未使用的已打开的端口会招致安全风险。该策略适用于受影响资产组中的资产，以及端口组中的端口。
网络流量激增 时间窗口、敏感度等级、计划 检测网络流量中的异常峰值。该策略适用于与指定时间窗口相关且基于指定敏感度等级的峰值。该策略也仅限于指定时间范围。
对话中的峰值 时间窗口、敏感度等级、计划 检测网络中对话数量的异常峰值。该策略适用于与指定时间窗口相关且基于指定敏感度等级的峰值。该策略也仅限于指定时间范围。
RDP 连接（经过身份验证） 源、目标、计划 已使用身份验证凭据在网络中建立 RDP（远程桌面连接）。该策略适用于在指定时间范围内，连接到“目标”资产组中的“源”资产组中的资产。
RDP 连接（未经身份验证） 源、目标、计划 未使用身份验证凭据在网络中建立 RDP（远程桌面连接）。该策略适用于在指定时间范围内，连接到“目标”资产组中的“源”资产组中的资产。
未经授权的对话 源、目标、协议、计划 检测网络中各个资产之间发送的通信。该策略适用于在指定时间范围内，“源”资产组中的资产使用“协议”组中的协议发送到“目标”资产组中的资产的通信。
不安全的 FTP 登录成功 源、目标、计划 OT Security 将 FTP 视为不安全协议。此策略检测使用 FTP 的成功登录。
不安全的 FTP 登录失败 源、目标、计划 OT Security 将 FTP 视为不安全协议。此策略检测使用 FTP 失败的登录尝试。
不安全的 Telnet 登录成功 源、目标、计划 OT Security 将 Telnet 视为不安全协议。此策略检测使用 Telnet 的成功登录。
不安全的 Telnet 登录失败 源、目标、计划 OT Security 将 Telnet 视为不安全协议。此策略检测使用 Telnet 失败的登录尝试。
不安全的 Telnet 登录尝试 源、目标、计划 OT Security 将 Telnet 视为不安全协议。此策略检测使用 Telnet 的登录尝试（未检测到其结果状态）。

下表介绍了各种类型的网络威胁事件。

注意：可以通过选择“资产组”或“网段”来指定与受影响的资产、源或目标相关的策略条件。

事件类型 策略条件 描述
入侵检测 源、受影响的资产、规则组、计划

入侵检测策略使用基于签名的 OT 和 IT 威胁检测，来识别表示入侵威胁的网络流量。此类检测基于已在 Suricata 威胁引擎中编目的规则。这些规则被划分为类别（例如 ICS 攻击、拒绝服务、恶意软件等）和子类别（例如 ICS 攻击 - Stuxnet、ICS 攻击 - BlackEnergy 等）。系统提供一系列相关规则的预定义组。您还可以为各种规则配置专属的自定义分组。

注意：您无法编辑入侵检测系统 (IDS) 事件的“源”和“目标”资产组。
ARP 扫描 受影响的资产、计划 检测网络中运行的 ARP 扫描（网络侦查活动）。该策略适用于在指定时间范围内受影响资产组中的广播扫描。
端口扫描 源资产、目标资产、计划 检测网络中运行的 SYN 扫描（网络侦查活动），以检测开放（易受攻击）端口。该策略适用于在指定时间范围内，从“源”资产组中的资产到“目标”资产组中的资产的通信。

下表介绍了各种类型的 SCADA 事件类型。

注意：可以通过选择“资产组”或“网段”来指定与受影响的资产、源或目标相关的策略条件。

事件类型 策略条件 描述
Modbus 非法数据地址 源资产、目标资产、计划 检测 Modbus 协议中的“非法数据地址”错误代码。该策略适用于在指定时间范围内，从“源”资产组中的资产到“目标”资产组中的资产的通信。
Modbus 非法数据值 源资产、目标资产、计划 检测 Modbus 协议中的“非法数据值”错误代码。该策略适用于在指定时间范围内，从“源”资产组中的资产到“目标”资产组中的资产的通信。
Modbus 非法函数 源资产、目标资产、计划 检测 Modbus 协议中的“非法函数”错误代码。该策略适用于在指定时间范围内，从“源”资产组中的资产到“目标”资产组中的资产的通信。
未经授权的写入 源资产、标签组、标签值、计划 检测未经授权写入指定“源”资产组中的控制器（目前支持 Rockwell 和 S7 控制器）上的指定标签的情况。您可以配置策略以检测任何新的写入、指定值变更或指定范围之外的值。该策略仅在指定时间范围内适用。
ABB - 未经授权的写入 源资产、目标资产、计划 检测通过 MMS 发送到 ABB 800xA 控制器且超出允许范围的写入命令。
IEC 60870-5-104 命令（开始/停止数据传输、质询命令、计数器质询命令、时钟同步命令、重置进程命令、带时间标签的测试命令） 源资产、目标资产、计划 检测发送到被认为有风险的 IEC-104 父设备或子设备的特定命令。
DNP3 命令 源资产、目标资产、计划 检测使用 DNP3 协议发送的所有主要命令。例如，“选择”、“操作”、“热/冷重新启动”等。还可检测源自内部指示符的错误，例如不受支持的函数代码和参数错误。