用途：面向SCADA/ICS环境的入侵检测能力建设，适用于首次部署OT入侵检测、调查疑似工控攻击、构建针对Stuxnet、TRITON、Industroyer等OT攻击模式的检测规则、将OT网络监控接入企业SOC，以及响应Dragos、Nozomi、Claroty等OT安全工具告警。不适用于纯IT网络检测、通用IDS规则构建或攻击确认后的事件响应。
主要能力：一是建立SCADA通信基线，分析Modbus/TCP、DNP3、EtherNet/IP、S7comm等工业协议的确定性通信模式，包括功能码、寄存器范围、轮询间隔；二是部署OT专用检测规则，覆盖Modbus未授权写入、诊断命令、广播写入，S7comm CPU STOP与程序下载，DNP3冷重启与固件更新，以及新设备通信和端口扫描等异常；三是实现过程数据异常检测，通过历史数据库监控物理过程变量，识别越限、变化率超限和传感器读数恒定等Stuxnet式攻击特征。
使用方式：需在OT网络边界SPAN/TAP端口部署被动监控传感器，配备OT IDS（如Dragos Platform、Nozomi Guardian、Claroty xDome或带OT规则集的Suricata），理解所用工业协议，并具备正常通信基线和过程历史数据。工作流包括运行Python基线构建脚本处理pcap文件、部署Suricata规则、以及通过历史数据库API进行过程数据异常检测。
限制：资料未提供完整安装命令、具体收费信息、平台兼容性细节及实际检测效果数据。部分代码示例在资料中未完整展示。