Use for authorized OT/ICS security assessment covering Purdue model zoning, PLC/SCADA exposure, industrial protocol discovery, and safe passive-first evaluation.

OT / ICS Security ACTION REQUIRED（读完后立刻执行） 1. NOW : 读取 ../field journal/precedent pentest.md — 工控环境误操作可致物理危害 2. NOW : 书面授权必须写清：站点、网段、是否允许主动扫描/写寄存器 3. NOW : case init；默认 passive first ； ready for act 前禁止对 PLC 写操作 4. NEXT : tool index；多数工控工具需手动与隔离实验网 5. ACT : 资产与分区识别 → 暴露面 → 只读验证适用场景工控/SCADA/DCS 安全评估（授权） Purdue 模型分区与跨区通道 Modbus/DNP3/S7/EtherNet/IP 等协议暴露工程师站、HMI、历史库、跳板主机 IT/OT 融合边界（防火墙规则、单向闸）安全铁律（MUST）工作流 Phase 1 — 分区与资产 Phase 2 — 被动与只读 Phase 3 — 受限主动（仅授权） Phase 4 — 固件/补丁面工具链工具用途注意 Wireshark 工控 dissectors 被动解析镜像流量 Nmap NSE（受限）识别速率与时间窗 Claroty/Nozomi 等资产发现商业/现场 PLC 厂商工程软件配置审计离线优先 binwalk / Ghidra 固件离线参考 references/ot safe assessment.md ../firmware pentest/ ../protocol reverse/ ../network via pentest tools 路由上下文上游 : MASTER R28 下游 : 固件深挖 firmware pentest ；协议 protocol reverse ；IT 横向 windows ad / attack chain 同级 : 不要用普通 Web 扫默认参数打 OT 任务完成自检 [ ] 是否默认被动/只读并记录授权边界？ [ ] 是否避免对控制回路写操作（除非明确允许）？ [ ] Finding 是否含物理/过程影响说明？ [ ] Checklist / journal？

ot-ics