将 syslog 消息传送到 syslog服务器要求如果要将 CPU 的 syslog 消息传送到 syslog 服务器，必须满足以下要求：• STEP 7 版本 V19及更高版本• CPU 的固件版本为 V3.1 及更高版本• 已在 STEP 7 中创建项目。• STEP 7的设备或网络视图已打开操作步骤要将 CPU 组态为向 syslog 服务器传送 syslog 消息，请执行以下步骤：1. 在 STEP7 的设备或网络视图中选择所需 CPU。2. 在巡视窗口中，导航至“属性 > 保护和安全 > Syslog >Syslog 服务器”(Properties >Protection & Security > Syslog >Syslog server)。3. 在“连接到 Syslog 服务器”(Connection to syslog server)区域中，选择“启用 Syslog 消息到Syslog 服务器的传输”(Enable transfer of syslogmessages to a syslog server) 选项。以下选项变为可编辑状态。4.从“传输协议”下拉列表中选择以下选项中的一项：– “传输层安全性 (TLS) - 服务器和客户端身份验证”(TransportLayer Security (TLS) - serverand clientauthentication)：加密数据传输、syslog 服务器和客户端 (CPU) 必须验证自身身份。– “传输层安全性(TLS) - 仅服务器身份验证”(Transport Layer Security (TLS) - onlyserverauthentication)：加密数据传输，只有 syslog 服务器需要验证自身身份。–“UDP”：未加密的数据传输，syslog服务器和客户端（CPU）都不需要验证自身身份。接下来的几部分将介绍如何根据指定的设置选择身份验证证书（登录）。5. 在“syslog服务器的地址”列，输入有效的服务器地址。6. 在“端口”列，根据使用的传输协议输入以下端口号之一：– TLS 的标准 TCP端口：6514– 标准 UDP 端口：514结果：已组态将 syslog 消息传送到 syslog 服务器。图 4-4 已组态将 syslog 消息传送到 syslog 服务器48分布式 I/O 系统系统手册, 11/2023,A5E03576855-AN工业网络安全4.9 CPU 的安全操作选择客户端证书STEP 7 为 TLS 传输协议提供 CPU所需的客户端证书。如果证书是在 CPU 内管理的，则可选择已有证书或创建新证书。为此，请按以下步骤操作：1. 在 STEP 7的设备或网络视图中选择所需 CPU。2. 在巡视窗口中，导航至“属性 > 保护和安全 > Syslog >Syslog 证书”(Properties > Protection& Security > Syslog >Certificates for Syslog)。3. 在“客户端证书”(Client certificate)字段中选择相应的证书。选择服务器身份验证选择 TLS 传输协议后，已组态的 syslog 服务器必须验证自己的身份，这样可确保 CPU仅会连接到可信任的服务器。如果要放弃服务器身份验证，请激活运行过程中自动接受服务器证书。要组态这些设置，请按以下步骤操作：1. 在STEP 7 的设备或网络视图中选择所需 CPU。2. 在巡视窗口中，导航至“属性 > 保护和安全 > Syslog> Syslog 证书”(Properties > Protection& Security > Syslog> Certificates for Syslog)。3. 在“可信任的服务器”(Trusted servers)区域中，指定是否应对连接的 Syslog 服务器进行身份验证。在这种情况下，需要完善以下信息：–添加可信任的服务器：在“使用者的公共名称”列中添加有效的服务器证书。–运行过程中自动接受证书：激活“运行过程中自动接受服务器证书”选项。无法在表格中进行编辑。说明无需使用自动接受的服务器证书进行身份验证如果启用“运行过程中自动接受服务器证书”选项，则服务器不需要验证自身身份。这意味着CPU 还可以连接到可能存在安全风险的未知服务器。仅在调试期间或在受保护的环境中选择此选项。49工业网络安全4.9 CPU的安全操作分布式 I/O 系统系统手册, 11/2023, A5E03576855-AN结果：已组态服务器身份验证。50分布式 I/O系统系统手册, 11/2023, A5E03576855-AN工业网络安全4.9 CPU 的安全操作4.9.11.3 Syslog消息的结构CPU 在本地缓存中收集 syslog 消息。这些 syslog 消息的结构符合 syslog 协议 (RFC 5424)的规定，由以下元素组成：• HEADER• STRUCTURED‑DATA• MSG(Message)下面几部分将介绍各个元素的结构和参数。HEADER 元素的结构标头包含对 syslog消息进行进一步处理所需的所有数据。标头的各部分用空格分隔（例外情况：PRI 和 VERSION 之间没有空格）。举例来说，CPU 可在syslog 消息中传送以下标头： 示例：CPU 的 syslog 消息的标头下表按规定顺序介绍各个参数：参数 说明PRI PRI 将syslog 消息的优先级编码，分为 Severity（消息的严重程度）和 Facility（消息来源）。PRI 值的组成方式如下：•PRI = 设施 x 8 + 严重程度可能值：• 严重程度– 0 = 紧急情况：系统不可用– 1 = 警报：必须立即采取行动– 2 =严重：严重情况– 3 = 错误：错误情况– 4 = 警告：警告情况– 5 = 注意：正常但重要的情况– 6 = 信息：信息消息– 7= 调试：调试级消息• 设施– 1 = 用户级消息– 2 = 邮件系统– 3 = 系统后台程序– 4 = 安全/授权消息– 5 = 由syslog 生成的内部消息– 6 = 行式打印机子系统– 7 = 网络新闻子系统– 8 = UUCP 子系统– 9 =时钟后台程序– 10 = 安全/授权消息– 11 = FTP 后台程序– 12 = NTP 子系统– 13 = 日志审计– 14 =日志警报CPU 并不使用列出的所有严重程度/设施值。VERSION Syslog 规范的版本号。51工业网络安全4.9 CPU的安全操作分布式 I/O 系统系统手册, 11/2023, A5E03576855-AN参数 说明TIMESTAMP设备以“2023-06-25T12:56:13.005Z”格式发送时间戳作为 UTC时间，不带时区和夏令时/标准时间校正。HOSTNAME 包含发送 syslog 消息的设备或系统的名称或 IP 地址。符合RFC1035 要求的 IPv4 地址：采用十进制表示的字节： 符合 RFC4291 第 2.2 部分要求的 IPv6地址：如果信息缺失，则输出“-”。APP-NAME 包含生成消息的组件（设备部分或应用）。如果信息缺失，则输出“-”。PROCID过程 ID 用于清楚地标识各个过程，例如在分析和故障排除期间。如果信息缺失，则输出“-”。MSGID ID用于标识消息。如果信息缺失，则输出“-”。STRUCTURED‑DATA 元素的结构STRUCTURED‑DATA以可解析、可分解的数据格式提供信息。支持的应用示例如下：• 更多关于 syslog 消息的信息•特定特有的信息STRUCTURED‑DATA 可包含一个或多个元素 (SD‑ELEMENT)。每个 SD 元素必须用方括号括住。如果STRUCTURED‑DATA 由多个 SD 元素组成，则各个 SD 元素以空格分隔。每个 SD‑ELEMENT 都由其名称(SD‑ID) 以及一个或多个名称-值对 (SD‑PARAM) 组成。每个名称-值对都由参数名称 (PARAM‑NAME) 和关联值(PARAM‑VALUE) 组成。SD 元素内的各个组件（SD-ID 和 SD-PARAM）之间用空格隔开。CPU 会在 syslog消息中传送以下 SD 元素，例如：示例：CPU 的 syslog 消息的 SD 元素MSG 元素的结构在 MSG (MESSAGE)元素中，CPU 会以英文传送事件的简写名称。下表列出了 MESSAGE 元素的消息内容。MESSAGE说明SE_LOCAL_SUCCESSFUL_LOGON 本地登录已成功（例如在 CPU 的操作员显示屏上登录）。更多信息有关Syslog 消息的结构和传送的详细信息，请参见以下 RFC (Request for Comments)：• Syslog 协议(RFC 5424) • 通过传输层安全 (RFC 5425) 传送 syslog 消息 • 通过 UDP (RFC 5426) 传输syslog 消息接口模块的安全操作有关接口模块的设备特定安全信息和说明，请参见相应的设备手册。
数据完整性数据完整性是指数据的完整性和正确性（完整性），这是系统正常工作的必要前提。数据隐私、数据一致性和数据安全性措施可确保设备内使用的数据在处理或传输过程中不会遭到损坏、更改（篡改）或删除，至少能够检测到数据发生的任何更改。接口模块的数据完整性为了检测接口模块及其相关模块内的数据是否遭到有意或无意的更改，PROFINET接口模块引入了动态完整性检查功能。检测完整性漏洞的能力增强了分布式 I/O 系统的恢复能力。分布式 I/O系统内的数据完整性完全由接口模块负责，与自动化系统的其他组件无关。原理接口模块根据其使用的数据以及相关模块提供的数据（例如参数设置、IP地址、设备名称、MAC 地址和 I&M 数据）计算校验和。接口模块将校验和存储在 I&M4数据存储区中。对于特定的、未更改的存储器内容，CRC (Cyclic Redundancy Check)始终保持不变。如果存储器内容发生更改，接口模块 (IM) 会通过读取和比较 I&M4 数据来计算该内容的不同校验和。通过与初始CRC 比较，可以判断存储器中的数据是否被修改：• CRC 保持不变：接口模块 IM 的该存储区内的数据没有发生更改• CRC发生更改：IM 存储区内的数据被修改只有身为用户的您知道接口模块数据的更改是否是有意的。如果更改不是有意的，您可以通过更改的 CRC检测到接口模块的数据是否已泄露，并做出相应的响应。I&M 数据PROFINET 设备可提供标识数据和维护数据（I&M数据），这是一组包含内部模块状态的预定义数据结构。利用这些数据，可以识别模块、确定其序列号等。CRC 校验和映射到接口模块的维护数据I&M4 中。说明计算 CRC 的要求仅当您请求读取 I&M4 数据时，才会通过接口模块的存储器内容计算CRC。CRC 不仅涵盖接口模块本身，还将关联模块的组合校验和纳入考量（请参见有关 I&M数据的数据记录结构的章节）。过程数据不包含在 CRC 计算内。示例：• 将分布式 I/O 系统投入运行，并通过 I&M4数据从接口模块读取值为“0x55AAA678”（“16#55AAA678”）的 CRC CHK_OVERALL。•只要没有对接口模块或关联模块的数据进行任何更改，每次后续读取都会给出值“0x55AAA678”或“16#55AAA678”。•一旦读取到不同的 CRCCHK_OVERALL，例如“0xCC9876FF”，您就会意识到接口模块或关联模块的数据一定已发生更改。分布式 I/O系统的数据完整性声明的质量会随着与支持 I&M4数据的接口模块关联的每个模块而提高。请参见相应模块的设备手册，了解该模块是否支持 I&M4 数据以及支持 I&M4数据的起始固件版本。有关 I&M 数据 0 到 4 的结构，请参见“I&M数据的记录结构”章节。备件方案仍可保证备件方案。这意味着您可以更换具有相同订货号的接口模块。对于“新”接口模块，序列号和 MAC地址等静态数据将发生变化。请注意，正因为如此，更换会在发生更改的标识数据 CHK_STATIC_LOCAL 中体现，在CHK_OVERALL 中也会体现。有关备件方案和兼容性的更多信息，请参见接口模块的设备手册。