用途：在 OT 环境中部署 Modbus 专用入侵检测，建立确定性 Modbus 轮询基线模型，调查由 OT 监控工具标记的可疑 Modbus 流量，在工业防火墙上实施功能码允许列表，检测可能操纵过程设定点的未授权写入命令。不适用于端到端保护 Modbus 通信（应参考网络分段方案）、非 Modbus 协议监控或对 Modbus 实现进行主动模糊测试。
主要能力：解析 Modbus/TCP（端口 502）的 MBAP 头与功能码；识别未授权客户端、未授权功能码、写操作、时序异常、协议违规（协议 ID 非 0）及广播写入（unit ID 0）；支持加载基线 JSON 进行轮询间隔与标准差的 Z 分数比对；输出按严重级别与类型统计的异常报告。
使用方式：需要 SPAN/TAP 访问以监控 Modbus/TCP，Zeek 或 Suricata OT 规则集，Python 3.9+ 及 scapy、pymodbus，至少 1-2 周正常流量基线捕获，以及授权客户端、功能码与寄存器映射文档。命令示例：python modbus_detector.py <pcap_file> [baseline.json]。
限制：Modbus 本身无原生安全机制，本技能不能提供端到端安全；检测依赖基线质量与授权列表；未提供实际部署验证细节与性能指标。