OT/ICS/SCADA 安全技能面向工业控制系统安全评估，核心约束是安全第一：OT 系统直接控制物理过程，PLC 崩溃可能导致设备损坏或人身风险。技能默认采用被动、非侵入方式，禁止未授权主动扫描、写入或协议模糊测试生产环境。
主要能力包括：
- 架构与 Purdue 模型审查：将资产映射到 Purdue/ISA-95 层级，检查 IT/OT 边界、IDMZ（工业隔离区）缺失、扁平网络、双宿主工程站、绕过 DMZ 的远程厂商访问等问题。
- 工业协议分析：优先分析 SPAN/TAP 导出的 PCAP，识别 Modbus/TCP（功能码、写入操作）、DNP3（操作/直接操作、缺乏 Secure Authentication）、S7comm（PLC 启停、程序上下载）、EtherNet/IP+CIP（前向打开、属性写入）、OPC-UA（安全策略 None、匿名会话）等协议，并标记控制/写入操作与异常通信方。
- 暴露与资产发现：从抓包中被动清点资产；通过 Shodan/Censys 进行只读外部暴露检查；在授权下使用只读 nmap NSE 脚本低速率扫描，且不得用于安全仪表系统（SIS）。
- 威胁建模：使用 MITRE ATT&CK for ICS 矩阵映射攻击路径，参考真实战术（如 Stuxnet、TRITON、Industroyer 等）。
- 标准对齐：按 IEC 62443 定义区域与管道、分配安全等级（SL 1–4），对照 IEC 62443-3-3 系统要求与 NIST SP 800-82r3 控制项，必要时映射 NERC CIP。
- 检测与事件响应：建立正常协议通信和命令速率基线，告警异常写入/程序下载、新工程连接、非工作时间命令及 L4→L1 流量；OT 事件响应以安全和过程连续性优先，协调工艺/安全工程师，准备手动操作回退方案。
使用方式上，技能提供脚本 ics_protocol_analyzer.py：可将 tshark 导出的 JSON 抓包汇总并标记控制/写入操作，也可生成针对厂商/协议的 Shodan/Censys 暴露查询语句。需安装 requests、pyyaml，实验室环境可选 pymodbus、scapy。输出遵循评估报告模板，包含执行摘要、Purdue/区域-管道图、发现项（含 ATT&CK ICS 映射、IEC 62443 条款、证据、过程影响、修复建议）、区域 SL 建议及按安全权重排序的修复措施。
适用场景：工业网络架构审计、协议流量审查、暴露面核查、合规差距分析、检测规则设计、OT 事件响应辅助。限制：主动操作必须获得书面授权和资产所有者签字，并具备经过测试的回滚/安全计划，最好在测试台或维护窗口进行；提取置信度不等于恶意性置信度，未知恶意性保持未知；生成的查询/规则在测试前视为未验证。