從感應器主控台維護 OT 網路感應器

  • 發行項

本文說明您可能會在較大的部署流程之外執行的額外 OT 感應器維護活動。

OT 感應器也可以從 OT 感應器 CLI、Azure 入口網站，以及內部部署管理主控台進行維護。

警告

客戶設定僅支援 OT 網路感應器和內部部署管理主控台上已記載的設定參數。 請勿變更任何未記載的設定參數或系統屬性，因為變更可能會導致非預期的行為和系統失敗。

在未經 Microsoft 核准的情況下，從感應器中移除套件可能會導致非預期的結果。 安裝於感應器上的所有套件都必須有正確的感應器功能。

必要條件

執行本文中的程序前，請確定您有：

檢視整體的 OT 感應器狀態

當您登入 OT 感應器時，顯示的第一頁是 [概觀] 頁面。

例如：

[概觀] 頁面的螢幕快照。

[概觀] 頁面會顯示下列小工具：

名稱 描述
一般設定 顯示感應器的基本組態設定清單和連線狀態。
流量監視 顯示詳細說明感應器中流量的圖表。 此圖表會在檢視當天以每小時 Mbps 的單位顯示流量。
前 5 個 OT 通訊協定 顯示詳述前五個最常使用 OT 通訊協定的橫條圖。 橫條圖也會提供使用這些通訊協定的裝置數目。
流量 (依連接埠) 顯示圓形圖，其中顯示網路中連接埠的類型，以及每種連接埠類型中偵測到的流量。
首要未解決的警示 顯示一份資料表，其中列出任何目前未解決且嚴重性等級較高的警示，包括每個警示的重要詳細資料。

選取每個小工具中的連結以向下切入，以取得感應器中的詳細資訊。

驗證連線狀態

請確認您的 OT 感應器已成功從 OT 感應器的 [概觀] 頁面直接連線到 Azure 入口網站。

如果發生任何連線問題，[概觀] 頁面的 [一般設定] 區域中會顯示中斷連線訊息，[服務連線錯誤] 警告則會出現在 [系統訊息] 區域中的頁面頂端。 例如：

感測器頁面的螢幕快照，其中顯示已中斷連線的連線狀態。

將滑鼠停留在 資訊圖示上，以尋找問題的相關詳細資訊。 例如：

線上錯誤訊息的螢幕快照。

選取 [系統訊息] 底下的 [深入了解] 選項以採取動作。 例如：

系統訊息窗格的螢幕快照。

下載 OT 感應器的軟體

如果您要在自己的設備上安裝適用於 IoT 的 Defender 軟體，或是要更新軟體版本，您可能需要下載 OT 感應器的軟體。

在 Azure 入口網站的適用於 IoT 的 Defender 中，使用下列其中一個選項：

  • 如需新的安裝，請選擇 [開始使用]>[感應器]。 在 [購買設備並安裝軟體] 區域中選取版本，然後選取 [下載]。

  • 如果您要更新 OT 感應器，請使用 [網站與感應器] 頁面中的選項，[感測器更新 (預覽)]> 功能表。

從 Azure 入口網站下載的所有檔案都會以信任的根目錄簽署，讓您的機器只使用已簽署的資產。

如需詳細資訊，請參閱更新適用於 IOT 的 Defender OT 監視軟體。

上傳新的啟用檔案

每個 OT 感應器都會上線為雲端連線或本機管理的 OT 感應器，並使用唯一的啟用檔案啟用。 針對雲端連線感應器，啟用檔案可用來確保感應器與適用於 Azure 之間的連線。

如果您想要切換感測器管理模式，例如從本機管理的感測器移至雲端連接的感測器，或從 最近的軟體版本更新，您需要將新的啟用檔案上傳至感測器。 將新的啟用檔案上傳至您的感應器包括從 Azure 入口網站刪除您的感應器，並再次上線。

若要新增啟用檔案：

  1. 執行下列其中一項動作：

    • 從頭開始將感應器上線：

      1. 在 Azure 入口網站的適用於 IoT 的 Defender>[網站與感應器] 中，找出並刪除您的 OT 感應器。

      2. 選取 [將 OT 感應器上線] > [OT]，以從頭開始重新將感應器上線，並下載新的啟用檔案。 如需詳細資訊，請參閱將 OT 感應器上線。

    • 下載目前感應器的啟用檔案：在 [網站與感應器] 頁面上，找出您剛才新增的感應器。 選取感應器資料列上的三個點 (...)，然後選取 [下載啟用檔案]。 將檔案儲存在感應器可存取的位置。

    從 Azure 入口網站下載的所有檔案都會以信任的根目錄簽署，讓您的機器只使用已簽署的資產。

  2. 登入適用於 IoT 的 Defender 感應器主控台，然後選取 [系統設定]>[感應器管理]>[訂用帳戶與啟用模式]。

  3. 選取 [上傳]，然後瀏覽至您從 Azure 入口網站下載的檔案。

  4. 選取 [啟用] 以上傳新的啟用檔案。

針對啟用檔案上傳進行疑難排解

如果無法上傳啟用檔案，您會收到錯誤訊息。 可能發生下列事件：

  • 感應器無法連線到網際網路：檢查感應器的網路設定。 如果您的感應器需要透過 Web Proxy 連線以存取網際網路，請確認您的 Proxy 伺服器已在 [感應器網路設定] 畫面上正確設定。 確認防火牆和/或 Proxy 中是否允許必要的端點。

    針對 OT 感應器 22.x 版，請從Azure 入口網站上的 [網站和感應器] 頁面下載所需的端點清單。 選取具有支援軟體版本的 OT 感應器，或具有一或多個支援感應器的網站。 然後選取 [更多動作]> [下載端點詳細資料]。 針對使用舊版感應器，請參閱感應器存取 Azure 入口網站。

  • 啟用檔案有效，但適用於 IoT 的 Defender 將其拒絕：如果您無法解決此問題，您可以從 Azure 入口網站中的 [網站與感應器] 頁面下載其他啟用檔案。 如果仍然失敗，請連絡 Microsoft 支援服務。

注意

啟用檔案會在建立後 14 天到期。 如果您將感應器上線，但未在啟用檔案過期之前上傳檔案，請下載新的啟用檔案。

管理 SSL/TLS 憑證

如果您使用生產環境，則就已在 OT 感應器部署的過程中部署了 CA 簽署的 SSL/TLS 憑證。 建議您僅針對測試目的使用自我簽署憑證。

下列程序描述如何部署更新的 SSL/TLS 憑證，例如在憑證已過期的情況。

提示

您也可以使用 CLI 命令將憑證匯入 OT 感應器。

若要部署 CA 簽署 SSL/TLS 憑證：

  1. 登入您的 OT 感應器，然後選取 [系統設定]>[基本]>[SSL/TLS 憑證]。

  2. 在 [SSL/TLS 憑證] 窗格中，選取 [匯入信任的 CA 憑證 (建議使用)] 選項。 例如：

    匯入受信任 CA 憑證的螢幕快照。

  3. 輸入下列參數：

    參數 描述
    憑證名稱 輸入您的憑證名稱。
    [複雜密碼] - [選擇性] 輸入複雜密碼。
    私密金鑰 (KEY 檔案) 上傳私密金鑰 (KEY 檔案)。
    憑證 (CRT 檔案) 上傳憑證 (CRT 檔案)。
    [憑證鏈結 (PEM 檔案)] - [選擇性] 上傳憑證鏈結 (PEM 檔案)。

    選取 [使用 CRL (憑證撤銷清單) 來檢查憑證狀態]，以針對 CRL 伺服器驗證憑證。 匯入流程期間會檢查憑證一次。

    如果上傳失敗，請連絡您的安全性或 IT 系統管理員。 如需詳細資訊，請參閱內部部署資源的 SSL/TLS 憑證需求和為 OT 設備建立 SSL/TLS 憑證。

  4. 在 [驗證內部部署管理主控台憑證] 區域中，如果需要 SSL/TLS 憑證驗證，請選取 [強制]。 否則，請選取 [否]。

    如果您選取了 [強制] 而驗證失敗，相關元件之間的通訊就會終止，並在感應器上顯示驗證錯誤。 如需詳細資訊，請參閱 CRT 檔案需求。

  5. 選取 [儲存] 以儲存憑證設定。

針對憑證上傳錯誤進行疑難排解

如果憑證未正確建立或無效，則您無法將憑證上傳至 OT 感應器或內部部署管理主控台。 使用下表來了解如何在憑證上傳失敗並顯示錯誤訊息時採取動作：

憑證驗證錯誤 建議
複雜密碼與金鑰不符 請確定您有正確的複雜密碼。 如果問題持續發生，請嘗試使用正確的複雜密碼重新建立憑證。 如需詳細資訊，請參閱金鑰和複雜密碼的支援字元。
無法驗證信任鏈結。 提供的憑證與根 CA 不相符。 請確定 .pem 檔案與 .crt 檔案相互關聯。
如果問題持續發生，請嘗試使用 .pem 檔案所定義的正確信任鏈結來重新建立憑證。
此 SSL 憑證已過期且未視為有效。 建立日期有效的新憑證。
此憑證已由 CRL 撤銷，且無法獲得信任進行安全連線 建立新的未撤銷憑證。
無法連線到 CRL (憑證撤銷清單) 位置。 驗證是否可從此設備存取 URL 確定您的網路設定可讓感應器或內部部署管理主控台連線到憑證中定義的 CRL 伺服器。
如需詳細資訊，請參閱確認 CRL 伺服器存取。
憑證驗證失敗 這表示設備中發生一般錯誤。
請連絡 Microsoft 支援服務。

更新 OT 感應器網路設定

您已在安裝期間設定了 OT 感應器網路設定。 您可能需要在 OT 感應器維護期間進行變更，例如修改網路值或設定 Proxy 設定。

若要更新 OT 感應器設定：

  1. 登入 OT 感測器，然後選取 [系統設定]>[基本]>[感測器網络設定]。

  2. 在 [感應器網路設定] 窗格中，視需要更新 OT 感應器的下列詳細資料：

    • IP 位址。 變更 IP 位址可能會要求使用者再次登入您的 OT 感應器。
    • 子網路遮罩
    • 預設閘道
    • DNS。 請務必使用貴組織 DNS 伺服器中設定的相同主機名稱。
    • 主機名稱 (選擇性)

  3. 視需要開啟或關閉 [啟用 Proxy] 選項。 如果您使用 Proxy，請輸入下列值：

    • Proxy 主機
    • Proxy 連接埠
    • Proxy 使用者名稱 (選擇性)
    • Proxy 密碼 (選擇性)

  4. 選取儲存以儲存變更。

手動關閉學習模式

適用於 IoT 的 Microsoft Defender OT 網路感應器一旦連線到您的網路，且您已登入，就會開始自動監視您的網路。 網路裝置開始出現在您的裝置詳細目錄中，並針對您網路中發生的任何安全性或作業事件觸發警示。

一開始，此活動會以學習模式進行，這會指示您的 OT 感應器了解您網路的一般活動，包括網路中的裝置和通訊協定，以及特定裝置之間發生的一般檔案傳輸。 任何定期偵測到的活動都會變成您網路的基準流量。

此程序描述當您認為目前的警示正確地反映您的網路活動時，如何手動關閉學習模式。

若要關閉學習模式：

  1. 登入您的 OT 網路感應器，然後選取 [系統設定]>、[網路監視]>、[偵測引擎和網路模型]。

  2. 關閉下列其中一個或兩個選項：

    • 學習。 當您認為 OT 感應器偵測準確地反映您的網路活動時，請在部署感應器大約二到六週後關閉此選項。

    • 智慧型 IT 學習。 將此選項保持開啟，以保持低的不具決定性警示和通知數。

    不具決定性行為包括一般 IT 活動的結果變更，例如 DNS 和 HTTP 要求。 關閉智慧 IT 學習選項可能會觸發許多誤判為真原則違規警示。

  3. 在確認訊息中，選取 [確定]，然後選取 [關閉]，以儲存變更。

更新感應器的監視介面 (設定 ERSPAN)

您可能需要變更感應器用來監視流量的介面。 您最初設定這些詳細數據是初始感測器設定的一部分，但可能需要修改設定作為系統維護的一部分，例如設定 ERSPAN 監視。

如需詳細資訊，請參閱 ERSPAN 連接埠。

注意

此程序會重新啟動您的感應器軟體，以實作所做的任何變更。

若要更新感應器的監視介面：

  1. 登入您的 OT 感應器，然後選取 [系統設定]>[基本]>[介面連線]。

  2. 在方格中，找出您想要設定的介面。 執行下列其中一個步驟：

    • 針對您要感應器監視的任何介面，選取 [啟用/停用] 切換。 您必須為每個感應器啟用至少一個介面。

      如果您不確定要使用哪一個介面，請選取 [閃爍實體介面 LED] 按鈕，讓選取的連接埠在電腦上閃爍。

      提示

      建議您將設定設定為僅監視使用中的介面，將感應器的效能最佳化。

    • 針對您選取要監視的每個介面，選取 [進階設定] 按鈕以修改下列任一設定：

      名稱 描述
      模式 選取下列其中一個：

      - SPAN 流量 (無封裝) 以使用預設 SPAN 連接埠鏡像。
      如果您使用 ERSPAN 鏡像，則為 - ERSPAN。

      如需詳細資訊，請參閱選擇用於 OT 感應器的流量鏡像方法。
      說明 輸入介面的選擇性 [描述]。 您稍後會在感應器的 [系統設定]>[介面設定] 頁面中看到此內容，這些描述可能有助於了解每個介面的用途。
      自動交涉 僅與實體機器相關。 使用此選項可判斷使用哪些種類的通訊方法，或是否在元件之間自動定義通訊方法。

      重要：建議您僅在網路小組的建議之下才變更此設定。

    例如：

    如何在 [介面組態] 頁面上設定 ERSPAN 的螢幕快照。

  3. 選取儲存以儲存變更。 您的感應器軟體會重新啟動以實作變更。

同步處理 OT 感應器上的時區

您可能要使用特定時區來設定 OT 感應器，讓所有使用者看到相同的時間，而不論使用者的位置為何。

時區用於警示、趨勢和統計資料小工具、資料採礦報告、風險評量報告，以及攻擊媒介報告。

若要設定 OT 感測器的時區：

  1. 登入您的 OT 感應器，然後選取 [系統設定]>[基本]>[時間與區域]。

  2. 在 [時間與區域] 窗格中，輸入下列詳細資料：

    • 時區：選取您要使用的時區

    • 日期格式：選取您要使用的時間和日期格式。 支援的格式包括：

      • dd/MM/yyyy HH:mm:ss
      • MM/dd/yyyy HH:mm:ss
      • yyyy/MM/dd HH:mm:ss

    [日期與時間] 欄位會自動以您選取的格式更新目前時間。

  3. 選取儲存以儲存變更。

設定 SMTP 郵件伺服器設定

在 OT 感應器上定義 SMTP 郵件伺服器設定，以便設定 OT 感應器將資料傳送至其他伺服器及合作夥伴服務。

您需要設定 SMTP 郵件伺服器，以啟用已中斷連線感應器、感應器備份擷取失敗，以及從內部部署管理主控台 SPAN 監視連接埠失敗的相關電子郵件警示，以及設定郵件轉寄並設定轉寄警示規則。

先決條件：

請確定您可以從感應器的管理連接埠連線到 SMTP 伺服器。

若要在 OT 感應器上設定 SMTP 伺服器：

  1. 登入 OT 感應器，然後選取 [系統設定]>[整合]>[郵件伺服器]。

  2. 在出現的 [編輯郵件伺服器組態] 窗格中，定義 SMTP 伺服器的值，如下所示：

    參數 描述
    SMTP 伺服器位址 輸入 SMTP 伺服器的 IP 位址或網域位址。
    SMTP 伺服器連接埠 預設 = 25。 視需要調整值。
    外寄郵件帳戶 輸入電子郵件位址，用來做為來自您感應器的外寄郵件帳戶。
    SSL 從感應器開啟安全連線。
    驗證 開啟，然後輸入電子郵件帳戶的使用者名稱和密碼。
    使用 NTLM 開啟以啟用 NTLM。 只有在您開啟 [驗證] 選項時，才會顯示此選項。

  3. 當完成時，選擇儲存。

上傳並播放 PCAP 檔案

針對 OT 感應器進行疑難排解時，建議您檢查特定 PCAP 檔案所記錄的資料。 若要這樣做，您可以將 PCAP 檔案上傳至 OT 感應器，然後重播所記錄的資料。

預設會在感應器主控台的設定中啟用 Play PCAP 選項。

上傳檔案的大小上限為 2 GB。

若要在感應器主控台中顯示 PCAP 播放機：

  1. 在感應器主控台上，移至 [系統設定] > [感應器管理] > [進階設定]。

  2. 在 [進階設定] 窗格中，選取 [PCAP] 類別。

  3. 在顯示的設定中，將 enabled=0 變更為 enabled=1，然後選取 [儲存]。

現在，您即可在感應器主控台的設定中使用 [播放 PCAP] 選項，其位於：[系統設定] > [基本] > [播放 PCAP]。

若要上傳並播放 PCAP 檔案：

  1. 在感應器主控台上，選取 [系統設定] > [基本] > [播放 PCAP]。

  2. 在 [PCAP 播放機] 窗格中，選取 [上傳]，然後瀏覽至您要上傳的檔案或多個檔案並加以選取。

    在感測器主控台的 [PCAP PLAYER] 窗格中上傳 PCAP 檔案的螢幕快照。

  3. 選取 [播放] 以播放 PCAP 檔案，或 [全部播放] 以播放目前載入的所有 PCAP 檔案。

提示

選取 [全部清除] 以清除所有已載入 PCAP 檔案的感應器。

關閉特定分析引擎

根據預設，每個 OT 網路感應器都會使用內建的分析引擎來分析內嵌的資料，並根據即時與預先錄製的流量觸發警示。

雖然建議您讓所有分析引擎保持開啟狀態，但建議您關閉 OT 感應器上的特定分析引擎，以限制該 OT 感應器所監視的異常狀況和風險類型。

重要

您停用原則引擎時，引擎產生的資訊將無法供感應器使用。 舉例來說，如果停用異常引擎便不會收到網路異常的警示。 如果您已建立轉送警示規則，則不會傳送引擎所學習到的異常狀況。

若要管理 OT 感應器的分析引擎：

  1. 登入您的 OT 感應器，然後選取 [系統設定] > [網路監視] > [自訂] > [偵測引擎和網路模型]。

  2. 在 [偵測引擎和網路模型化] 窗格中，於 [引擎] 區域中，關閉下列一或多個引擎：

    • 違反通訊協定
    • 原則違規
    • 惡意程式碼
    • 異常狀況
    • 作業

    重新開啟引擎，以再次開始追蹤相關的異常狀況和活動。

    如需詳細資訊，請參閱適用於 IoT 的 Defender 分析引擎。

  3. 選取 [關閉] 以儲存變更。

若要從內部部署管理主控台管理分析引擎：

  1. 登入內部部署管理主控台，並選取 [系統設定]。

  2. 在 [感應器引擎設定] 區段中，選取您要套用設定的一或多個 OT 感應器，並清除下列任一選項：

    • 違反通訊協定
    • 原則違規
    • 惡意程式碼
    • 異常狀況
    • 作業

  3. 選取 [儲存變更] 以儲存變更。

清除 OT 感應器資料

如果您需要重新放置或清除 OT 感應器，請加以重設以清除 OT 感應器上所有偵測到或學習的資料。

清除雲端連線感應器上的資料之後：

  • Azure 入口網站上的裝置詳細目錄會以平行方式更新。
  • 不再支援 Azure 入口網站中對應警示的某些動作，例如下載 PCAP 檔案或學習警示。

注意

清除系統資料不會變更 IP/DNS/GATEWAY 之類的網路設定。

若要清除系統資料：

  1. 以 [系統管理員] 使用者身分登入 OT 感應器。 如需詳細資訊，請參閱預設特殊權限內部部署使用者。

  2. 選取 [支援]> [清除資料]。

  3. 在確認對話方塊中，選取 [是] 以確認您想要清除感應器中的所有資料並予以重設。 例如：

    螢幕快照：在感測器控制台的支持頁面上清除系統數據。

確認訊息隨即出現，表示動作成功。 所有學習到的資料、允許清單、原則和組態設定都會從感應器中清除。

管理感應器外掛程式和監視外掛程式效能

使用感應器主控台中的 [通訊協定 DPI (Horizon 外掛程式)] 頁面，檢視感應器所監視每個通訊協定的資料。

  1. 登入您的 OT 感應器主控台，選取 [系統設定] > [網路監視] > [通訊協定 DPI (Horizon 外掛程式)]。

  2. 執行下列其中一項動作：

    • 若要限制感應器所監視的通訊協定，請視需要選取每個外掛程式的 [啟用/停用] 切換。

    • 若要監視外掛程式效能，請檢視每個外掛程式 [通訊協定 DPI (Horizon 外掛程式)] 頁面上顯示的資料。 若要協助找出特定外掛程式，請使用 [搜尋] 方塊來輸入所有外掛程式名稱的一部分。

通訊協定 DPI (Horizon 外掛程式) 列出每個外掛程式的下列資料：

資料行名稱 描述
外掛程式 定義外掛程式名稱。
類型 外掛程式類型，包括 APPLICATION 或 INFRASTRUCTURE。
Time 上次使用外掛程式分析資料的時間。 時間戳記會每隔五秒更新一次。
PPS 外掛程式每秒分析的封包數目。
頻寬 外掛程式過去五秒內偵測到的平均頻寬。
格式錯誤 過去五秒偵測到的格式錯誤數目。 在肯定地驗證了通訊協定之後，使用格式錯誤的驗證。 如果無法根據通訊協定處理封包，則會傳回失敗回應。
警告 偵測到的警告數目，例如當封包符合結構和規格卻偵測到非預期行為時，會根據外掛程式警告組態。
錯誤 過去五秒偵測到的錯誤數目，針對符合通訊協定定義的但未通過基本通訊協定驗證的封包。

記錄資料可用於 [區段統計資料] 和 [區段記錄] 記錄檔中的匯出。 如需詳細資訊，請參閱匯出疑難排解記錄。

下一步

如需詳細資訊，請參閱