用途：在OT/ICS网络中被动监控Modbus TCP（端口502）流量，检测异常功能码使用、未授权寄存器写入及可疑通信，常用于发现针对PLC、RTU、HMI的侦察、破坏或内部威胁。
主要能力：捕获并解析Modbus TCP帧（7字节MBAP头加PDU）；用Zeek的modbus分析器生成日志；用Scapy提取功能码、寄存器地址与值；基线化功能码分布、寄存器范围和轮询时序；检测未授权写操作（FC 05、06、15、16）、侦察（FC 43、08）、异常响应、越界或超速的寄存器值、线圈快速翻转、异常读模式；并识别未授权主站、事务ID异常、时序偏离和连接洪泛。
使用方式：在OT网段SPAN端口部署监测接口，例如tcpdump -i eth0 port 502 -c 100 -w modbus_capture.pcap 验证双向捕获；用Python 3.9+、pymodbus、scapy、pandas分析；Zeek加载 @load policy/protocols/modbus/known-masters-slaves；需48至72小时正常运行基线，并准备网络图明确主从关系与预期功能码。
限制：须获得资产所有者授权；不得用于对生产SCADA系统主动注入或模糊测试；不能替代提供物理过程保护的安全仪表系统（SIS）。其余收费、价格、平台等细节暂未提供。