用途：面向核设施、化工、关键基础设施等高价值 OT 目标，构建针对 APT 式攻击的高级威胁检测，重点覆盖 PLC 逻辑篡改与工艺过程操控。不适用于基础 OT 入侵检测、Stuxnet 样本恶意代码分析或 PLC 逻辑开发。
主要能力：按 Stuxnet 攻击链分段映射检测点，包括初始访问（可移动介质、应用白名单、禁用 autorun）、横向移动（检测利用流量、异常 SMB、提权、计划任务/服务创建）、工程工作站失陷（对 STEP 7/TIA Portal 目录做文件完整性监控、DLL 注入与 s7otbxdx.dll 钩子检测）、PLC 逻辑修改（块完整性比对、S7comm 上传下载、OB/FC/FB 块变化、OB1/OB35 变更）、过程操控（基于物理模型的异常检测、独立传感器交叉验证、振动与机械特征监控）。提供 PLC 逻辑完整性监控思路：加载已知良好基线，比对块的新增、删除、校验和不一致与数量变化，输出告警并关联 MITRE ATT&CK for ICS 技术编号。提供基于物理的过程异常检测示例：以电机频率与转速一致性、功率与转速关系（约 RPM^3）、振动阈值（ISO 10816）交叉校验，识别转速被低报而频率被操控的欺骗模式。
使用方式：需先准备 PLC 逻辑备份并建立可信基线，启用工程工作站监控（具备 OT 意识的 EDR），配置工业协议流量监控与物理过程模型；随后周期性采集 PLC 程序块信息与过程数据，与基线及物理模型比对并生成报告。
限制：依赖准确的可信基线与过程模型，误报需人工研判；仅以示例代码说明方法，未提供完整部署配置、支持协议清单、平台兼容性或性能指标；具体收费与许可信息暂未提供。