北美电力可靠性公司（NERC）符合性报表

北美电力可靠性公司关键基础设施计划（NERC CIP）是北美地区大电力系统公司（例如电厂）应遵守的合规标准。 当前适用于墨西哥，加拿大和美国。 NERC CIP包含一组必须遵循的任务，以确保大容量电气系统中的操作安全。这些措施涵盖了广泛的范围，例如保护端点设备，事件报告，响应计划等。

NERC合规报表

EventLog Analyzer提供以下报表，以符合NERC CIP标准的各个部分：

CIP 007-6 R4.1, CIP 007-6 R4.2, CIP 007-6 R5.7 - 登录

• 成功登录的用户
• 成功注销的用户
• 登录失败的用户
• 终端服务会话

CIP 005-6 R1.3, CIP 007-6 R5.3 - 策略变更

• 更改用户策略
• 更改域策略
• 更改审核策略

CIP 005-6 R1.3, CIP 007-6 R4.1, CIP 007-6 R4.2, CIP 007-6 R5.3, CIP 007-6 R5.7 -账户登录

• 用户帐户验证成功
• 用户帐户验证失败
  

CIP 005-6 R1.3, CIP 007-6 R5.3 - 用户访问

• 用户行为

CIP 007-6 R3.1, CIP 010-2 R1.1 - 配置管理

• Windows软件更新
• 反恶意软件
• 其他软件
  

CIP 009-6 R1.4 - Windows备份和还原

• Windows备份失败
• 备份Windows成功
• 恢复Windows失败
• 还原Windows成功
  

CIP 005-6 R1.3, CIP 007-6 R5.3 - MSSQL帐户更改

• 创建MSSQL用户
• 已删除MSSQL用户
• 已修改MSSQL用户
• 已创建MSSQL登录
• 已删除MSSQL登录
• 修改MSSQL登录名
• 已创建MSSQL角色
• 已删除MSSQL角色
• 修改了MSSQL角色
• 已创建MSSQL凭据
• 已删除MSSQL凭据
• 已修改MSSQL凭据
• 已启用MSSQL的用户
• 已禁用MSSQL的用户

CIP 007-6 R4.1, CIP 007-6 R4.2, CIP 007-6 R5.7 - Oracle安全性更改

• Oracle SQL注入
• Oracle Connect事件
• Oracle登录失败
• Oracle帐户锁定
• Oracle过期密码
• Oracle拒绝服务

CIP 005-6 R1.3, CIP 007-6 R5.3 -Oracle帐户更改

• 创建Oracle配置文件
• 删除Oracle配置文件
• 修改Oracle配置文件
• 创建Oracle用户
• 已删除Oracle用户
• 已修改Oracle用户
• 创建了Oracle角色
• 已删除Oracle角色
• 修改了Oracle角色
• 授予Oracle的角色
• Oracle系统补给
• Oracle系统撤销
• Oracle撤销角色

CIP 005-6 R1.3, CIP 007-6 R5.3 -打印机审核

• 打印机文档打印
• 打印机文档已删除
• 打印机超时文档
• 打印机移动文档
• 打印机恢复的文档
• 打印机已暂停的文档
• 打印机损坏的文件
• 打印机更改的文档
• 打印机特权不足，无法打印
  

CIP 007-6 R4.1, CIP 007-6 R4.2, CIP 007-6 R5.7 - SQLServer审核服务器报表

• SQLServer登录
• SQLServer登录失败

CIP 007-6 R3.1 - Unix SU命令报表

• 执行Unix SU命令
• 执行Unix失败的SU命令

CIP 007-6 R3.1 - Unix威胁报表

• Unix错误的ISP
• Unix反向查询错误
• Unix严重的HostConfig错误
• Unix无效的连接远程主机
• Unix拒绝服务攻击

CIP 007-6 R3.1 -Unix NFS事件报告

• Unix成功挂载NFS
• Unix拒绝NFS挂载
• 拒绝基于Unix用户的NFS挂载

CIP 007-6 R3.1 - Unix FTP服务器报表

• Unix FTP文件下载
• Unix FTP文件上传
• Unix FTP登录超时
• Unix FTP会话空闲超时
• Unix FTP无传输超时
• Unix FTP连接超时
• Unix FTP数据传输暂停超时

CIP 007-6 R1.1, CIP 009-6 R1.3 - Windows防火墙审核

• 已添加Windows防火墙规则
• 已修改Windows防火墙规则
• Windows防火墙规则已删除
• Windows防火墙设置已还原
• Windows防火墙设置已更改
• Windows防火墙组策略更改

CIP 007-6 R3.1, CIP 010-2 R1.1 - Windows应用程序白名单

• 允许运行Exe/Dll文件
• 由于强制性规则，不允许运行Exe/Dll文件
• 不允许运行Exe/Dll文件
• 允许运行MSI/脚本文件
• 由于强制执行规则，不允许运行MSI/脚本文件
• 限制访问程序的软件

CIP 007-6 R3.1 - 从防病毒中检测Windows威胁

• Microsoft检测反恶意软件的威胁
• 通过ESET Endpoint Antivirus进行威胁检测
• 卡巴斯基的威胁检测
• 通过Sophos Anti-Virus进行威胁检测
• 诺顿防病毒软件检测威胁
• Mcafee的威胁检测

CIP 007-6 R3.1, CIP 009-6 R1.4, CIP 010-2 R1.1 - Windows系统事件

• 已安装软件
• 已更新软件
• 软件安装失败
• 由于权限不匹配而导致软件安装失败
• 已安装新服务
• 服务已启动
• 服务已停止
• 服务失败
• EventLog服务中的错误
• 已卸载软件
• Windows AD备份错误
• Windows事件日志自动备份

CIP 005-6 R1.3, CIP 007-6 R5.3 - Symantec Endpoint Protection Symantec报表

• 已添加管理员
• 已删除管理员
• 修改管理员
• 策略更改