用途：让 Claude 评估 OT/ICS 环境（PLC、RTU、HMI、SCADA 服务器、历史库、现场设备），以安全为第一约束，围绕 Purdue/ISA-95 模型推理、被动分析工业协议、映射 MITRE ATT&CK for ICS，并对齐 IEC 62443 与 NIST SP 800-82。
安全与授权：OT 系统控制物理过程，PLC 崩溃可能造成设备损坏、环境泄漏或人员伤亡。默认采用被动、非侵入方法；未经书面授权、资产所有者签字及经过测试的回滚/安全计划，不得对生产 OT 发送主动扫描、写入或协议模糊测试，最好在测试台或维护窗口进行。
主要能力：1) 架构与 Purdue 模型审查，映射资产到 L0–L5 层级，标记缺失 IDMZ、扁平 IT/OT 网络、双宿主工程站、绕过 DMZ 的远程供应商访问及 L4/L5 直达 L0–L2 的路径。2) 工业协议被动分析，优先读取 SPAN/TAP 抓包，识别 Modbus/TCP(502) 写操作、DNP3(20000) 缺少 SAv5、S7comm(102) 启停与程序上下载、EtherNet/IP+CIP(44818/2222)、OPC-UA(4840) 安全策略 None、IEC 61850 GOOSE/MMS、IEC 60870-5-104(2404)、BACnet(47808) 等。3) 暴露面与资产发现，从抓包做被动清单，用 Shodan/Censys 只读 dork 检查外部暴露。4) 威胁建模，按 ICS 矩阵战术映射攻击路径，参考 Stuxnet、TRITON、Industroyer、PIPEDREAM 等。5) IEC 62443/NIST SP 800-82 对齐，定义区域与管道、分配 SL 1–4、对照 FR1–FR7 与 NIST 控制覆盖及 NERC CIP。6) OT 感知检测与响应，基线化协议通信与命令速率，告警异常写入、程序下载、新工程连接、非工作时间命令及 L4→L1 流量；IR 中安全与工艺连续性优先于证据保全。
使用方式：安装依赖 pip install requests pyyaml；实验环境协议库 pip install pymodbus scapy。可选 Wireshark/tshark ICS 解析器、nmap 只读 NSE 脚本、GRASSMARLIN 被动发现、Shodan/Censys 访问。脚本用法：tshark -r capture.pcap -T json > capture.json；python scripts/ics_protocol_analyzer.py --input capture.json --output ics_report.json；python scripts/ics_protocol_analyzer.py --dorks --vendor siemens --output dorks.txt。
适用场景：ICS/SCADA/OT/DCS 安全评估、工业网络评估、协议分析、Purdue 分段与 IT/OT 边界审查、合规对齐、ICS 事件响应。
限制：多数 ICS 协议设计上无认证或加密，任何可达客户端均可发命令；主动扫描仅在授权且只读、低速率下使用，绝不针对安全仪表系统（SIS）。具体收费、价格、平台支持等资料暂未提供。