ot-ics

OT / ICS セキュリティ

必須アクション（読了後すぐに実行）

1. NOW: ../field-journal/precedent-pentest.md を読む — 産業制御環境での誤操作は物理的危険を招く可能性があります
2. NOW: 書面による許可には、サイト、ネットワークセグメント、能動的スキャン/レジスタ書き込みの可否を明記する必要があります
3. NOW: case-init、デフォルトは passive-first、ready_for_act 前は PLC への書き込み操作を禁止
4. NEXT: tool-index、多くの産業制御ツールは手動かつ隔離された実験ネットワークが必要
5. ACT: 資産とゾーン識別 → 露出面 → 読み取り専用検証

適用シーン

• 産業制御/SCADA/DCS セキュリティ評価（許可済み）
• Purdue モデルのゾーン分割とゾーン間チャネル
• Modbus/DNP3/S7/EtherNet/IP などのプロトコル露出
• エンジニアリングワークステーション、HMI、ヒストリアン、ジャンプホスト
• IT/OT 融合境界（ファイアウォールルール、単方向ゲートウェイ）

セキュリティ鉄則（MUST）

MUST NOT 在未明确允许时：
- 对 PLC 写线圈/寄存器
- 全网高速率扫描生产 OT
- 中断安全仪表系统（SIS）相关路径
优先：只读识别、流量镜像、离线固件/配置分析

ワークフロー

Phase 1 — ゾーンと資産

□ Purdue L0–L5 草图：现场设备 → 控制 → 监督 → 站点 DMZ → 企业
□ 资产清单：PLC/RTU/HMI/工程师站/历史库/Jump host
□ 协议与端口基线（仅授权网段）

Phase 2 — パッシブと読み取り専用

□ SPAN/镜像 PCAP → protocol-reverse / Wireshark 工控解析器
□ 配置与工程文件离线审计（TIA/RSLogix 导出等）
□ 默认口令与明文协议（Modbus 无认证）记录为 Finding，不写盘改值

Phase 3 — 制限付きアクティブ（許可時のみ）

□ 低速识别，维护窗口
□ 只读功能码优先
□ 每步 Evidence；异常立即停止并通报

Phase 4 — ファームウェア/パッチ面

□ 控制器固件版本 → CVE 映射（不盲刷固件）
□ 联合 firmware-pentest 做离线镜像分析

ツールチェーン

ツール	用途	注意
Wireshark 産業制御 dissector	パッシブ解析	ミラートラフィック
Nmap NSE（制限付き）	識別	レートと時間枠
Claroty/Nozomi など	資産検出	商用/現場
PLC ベンダーエンジニアリングソフトウェア	設定監査	オフライン優先
binwalk / Ghidra	ファームウェア	オフライン

参考

• references/ot-safe-assessment.md
• ../firmware-pentest/ ../protocol-reverse/ ../network（pentest-tools 経由）

ルーティングコンテキスト

上流: MASTER R28
下流: ファームウェア深掘り firmware-pentest、プロトコル protocol-reverse、IT 横断 windows-ad/attack-chain
同階層: 通常の Web スキャンのデフォルトパラメータで OT を攻撃しないこと

タスク完了セルフチェック

• デフォルトでパッシブ/読み取り専用とし、許可範囲を記録しましたか？
• 制御ループへの書き込み操作を回避しましたか（明示的に許可されている場合を除く）？
• Finding に物理的/プロセスへの影響説明が含まれていますか？
• Checklist / journal は？