授权 OT/ICS 安全评估：按 Purdue…

在获得书面授权后，对工控/SCADA/DCS 环境进行被动优先、只读验证的安全评估，避免误操作造成物理危害。

适用场景

解决思路

1. 读取 `../field-journal/precedent-pentest.md`，确认工控环境误操作可致物理危害。
2. 取得书面授权，写清站点、网段、是否允许主动扫描/写寄存器。
3. 执行 case-init；默认 passive-first；在 `ready_for_act` 前禁止对 PLC 写操作。
4. 执行 tool-index；确认多数工控工具需手动准备，并在隔离实验网中使用。
5. 按“资产与分区识别 → 暴露面 → 只读验证”的顺序开始 ACT。
6. 未明确允许时，禁止对 PLC 写线圈/寄存器。
7. 未明确允许时，禁止全网高速率扫描生产 OT。
8. 未明确允许时，禁止中断安全仪表系统（SIS）相关路径。
9. 优先采用只读识别、流量镜像、离线固件/配置分析。
10. Phase 1：绘制 Purdue L0–L5 草图：现场设备 → 控制 → 监督 → 站点 DMZ → 企业。
11. Phase 1：建立资产清单：PLC/RTU/HMI/工程师站/历史库/Jump host。
12. Phase 1：在仅授权网段建立协议与端口基线。
13. Phase 2：通过 SPAN/镜像 PCAP，使用 protocol-reverse / Wireshark 工控解析器进行被动解析。
14. Phase 2：离线审计配置与工程文件（如 TIA/RSLogix 导出等）。
15. Phase 2：将默认口令与明文协议（如 Modbus 无认证）记录为 Finding，不写盘改值。
16. Phase 3：仅在授权下进行受限主动评估，低速识别，并安排在维护窗口。
17. Phase 3：优先使用只读功能码。
18. Phase 3：每步保留 Evidence；出现异常立即停止并通报。
19. Phase 4：获取控制器固件版本并映射到 CVE；不盲刷固件。
20. Phase 4：联合 firmware-pentest 做离线镜像分析。
21. 工具：使用 Wireshark 工控 dissectors 做被动解析，注意使用镜像流量。
22. 工具：受限使用 Nmap NSE 做识别，控制速率与时间窗。
23. 工具：使用 Claroty/Nozomi 等做资产发现（商业/现场）。
24. 工具：使用 PLC 厂商工程软件做配置审计，离线优先。
25. 工具：使用 binwalk / Ghidra 分析固件，离线进行。
26. 参考 `references/ot-safe-assessment.md`，并按需路由到 `../firmware-pentest/`、`../protocol-reverse/`、`../network`（经 pentest-tools）。
27. 路由：上游为 MASTER R28。
28. 路由：下游为固件深挖 `firmware-pentest`；协议 `protocol-reverse`；IT 横向 `windows-ad`/`attack-chain`。
29. 路由：不要用普通 Web 扫默认参数打 OT。
30. 完成自检：是否默认被动/只读并记录授权边界？
31. 完成自检：是否避免对控制回路写操作（除非明确允许）？
32. 完成自检：Finding 是否含物理/过程影响说明？
33. 完成自检：是否维护 Checklist / journal？

适用边界 · 注意事项

• 未获得书面授权，或授权未明确站点、网段、是否允许主动扫描/写寄存器时不适用。
• 无法避免对 PLC 写线圈/寄存器、高速扫描生产 OT、或可能中断 SIS 路径时不适用。
• 目标不是 OT/ICS/SCADA/DCS，或仅需普通 IT/Web 评估时不适用；原文明确不要用普通 Web 扫默认参数打 OT。