OT / ICS Security ACTION REQUIRED（读完后立刻执行） 1. : 读取 — 工控环境误操作可致物理危害 2. : 书面授权必须写清：站点、网段、是否允许主动扫描/写寄存器 3. : case-init；默认 passive-first ； 前禁止对 PLC 写操作 4. : tool-index；多数工控工具需手动与隔离实验网 5. : 资产与分区识别 → 暴露面 → 只读验证 适用场景 - 工控/SCADA/DCS 安全评估（授权） - Purdue 模型分区与跨区通道 - Modbus/DNP3/S7/EtherNet/IP 等协议暴露 - 工程师站、HMI、历史库、跳板主机 - IT/OT 融合边界（防火墙规则、单向闸） 安全铁律（MUST） 工作流 Phase 1 — 分区与资产 Phase 2 — 被动与只读 Phase 3 — 受限主动（仅授权） Phase 4 — 固件/补丁面 工具链 | 工具 | 用途 | 注意 | |------|------|------| | Wireshark 工控 dissectors | 被动解析 | 镜像流量 | | Nmap NSE（受限） | 识别 | 速率与时间窗 | | Claroty/Nozomi 等 | 资产发现 | 商业/现场 | | PLC 厂商工程软件 | 配置审计 | 离线优先 |…