安全日志

ToDo: new topic to be reviewed completely by project experts (Ray and Spring)

描述

TS 脱扣系统的安全日志功能可生成安全相关事件，例如：

成功或不成功的登录尝试
用户帐户或密码更改
配置更改

安全事件记录在安全日志中，并提供可用于监控系统上所执行活动的信息。安全日志最多可记录 252 个安全事件。当安全日志已满时，每个新安全事件会覆盖最早的事件。

注: 为避免覆盖旧的安全日志，请每半年导出一次安全日志。

安全日志可以由 Schneider Electric Services 代表导出。Schneider Electric Services 提供的安全日志可用于检测安全隐患，并在出现安全隐患时做出响应。

安全日志导出

安全日志是 CVS 格式的文件，每行有一个安全事件

以下提供了安全日志文件的示例：

安全事件具有以下数据可用：

A 列：事件严重度
- 81（警报）：需要进行紧急纠正操作。
- 85（通知）：需要安排纠正操作。
- 86（信息）：仅供参考。
B 列：事件发生日期和时间（仅适用于 TS 脱扣系统）
C 列： TS 脱扣系统的主机名称、商业型号
D 列：事件类别
- CoAP：采用 CoAP 协议的 USB 通讯接口
- Config：设备配置
- 系统：系统模式
- 安全日志：与安全日志相关的行为
- 用户：执行操作的用户帐户
E 列：消息 ID
F 列：安全日志序列号，有助于在时间不同步时显示事件的发生顺序。
G 列：预定义的事件信息结构，包括用户名、类型等。
H 列：事件消息

安全事件列表

类别	严重性	事件消息	描述	建议操作
CoAP	信息	EPC 连接	成功连接	-
CoAP	信息	用户注销	断开连接	-
CoAP	警报	密码过期	连接成功，但凭据无效。	更改过期密码并再次登录。
CoAP	注意	密码无效	连接失败	检查连接失败是否正常。
CoAP	注意	未知用户	连接失败	检查未知用户。
CoAP	警报	帐户锁定	因身份验证尝试失败 3 次而导致用户帐户被锁定。	异常场景检查是否有任何未授权用户试图登录设备。
CoAP	警报	登录被拒绝	拒绝登录（帐户被阻止）	异常场景检查是否有任何未授权用户试图登录设备。
CoAP	注意	未经授权的操作	未经授权的操作	检查帐户是否异常操作。
更新	信息	保护固件更新	固件更新	检查固件升级操作是否正常。
更新	警报	格式无效	更新的固件格式无效	固件发布异常。检查固件发布文件及其来源。
		不兼容版本	版本不兼容。
		来源未经验证	无法验证固件来源。
		签名无效	固件签名无效。
		Rollback operation detected（检测到回退操作）	固件版本回退。
配置	信息	Overload pre-alarm threshold（过载预警阈值）	配置更改	检查模式切换操作是否正常。
配置	信息	Ground fault pre-alarm threshold（接地故障预警阈值）	配置更改	检查模式切换操作是否正常。
系统	注意	Enter test mode（进入测试模式）	操作模式更改	检查模式切换是否正常。
系统	注意	Exit test mode（退出测试模式）	操作模式更改	检查模式切换是否正常。
安全日志	信息	安全日志导出	检索/导出设备的安全日志。	-
安全日志	注意	安全日志已清除	清除安全日志	检查安全日志清除操作是否正常。
用户	信息	用户帐户创建	用户帐户创建	检查用户帐户和密码更改是否正常。
		用户帐户修改	用户帐户修改
		用户帐户删除	用户帐户删除
		密码更新	密码更新
		密码重置	密码重置
用户	信息	重置为出厂默认	重置为出厂默认操作。	检查重置为出厂默认操作是否正常。

安全性建议操作

如果您发现如下异常情况，请与 Schneider Electric Services 代表联系以获取安全日志：

帐户或密码异常行为
数据或设置意外更改
设备异常行为

您的 Schneider Electric Services 代表帮助您分析安全日志中记录的事件。

定期检查安全日志，查找设备是否遭受攻击的潜在风险，以及是否已经存在一些非法用户攻击的现有事件。
检查设备用户身份验证和授权的安全事件，以确定是否存在以下情况：
- 多次登录失败事件
- 帐户锁定事件
- 使用过期密码的登录事件
- 未经授权的用户创建和密码修改事件
- 未经授权的重置
检查设备 USB 配置连接事件，以确定是否存在以下情况：
- 非法连接事件
- 通过 USB 连接进行的非法数据传输和配置操作
检查设备配置数据变更和操作模式变更事件，以确定其中是否存在异常配置和模式变更操作。
检查清除安全日志的事件，以确定其中是否存在非法清除安全日志记录的潜在攻击者。
检查固件更新事件，以确定其中是否存在非法升级和失败升级。
检查出厂复位设置的事件记录，以确定其中是否存在任何非法的出厂复位操作。

TBC: If the above security logs are found during operation process, it is necessary to analyze the specific circumstances and conditions of its occurrence by considering on-site monitoring and other equipment and find the root cause to eliminate security risks.