القائمة
为OT网络监控部署和配置Dragos平台，利用其600+工业协议解析器、情报驱动的威胁检测分析和资产可见性能力，保护ICS环境免受VOLTZITE、GRAPHITE和BAUXITE等威胁组织的攻击。
يُحدَّد Prompt الذي يراجع المصدر أولًا بشكل افتراضي. يمكنك التبديل إلى أمر مباشر أو تنزيل نسخة محلية.
اقرأ SKILL.md وأي ملفات مرافقة يعرضها SkillsMP قبل أن تقرر التثبيت.
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
يتجاوز الأمر المباشر Prompt المخصّص للمراجعة. افحص المصدر قبل تشغيله.
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill implementing-dragos-platform-for-ot-monitoringيبقى الأمر في سطر واحد. مرّر أفقيًا لمراجعته كاملًا قبل النسخ.
تفضّل نسخة محلية؟ نزّل الملفات المتاحة حاليًا لدى SkillsMP.
通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。
实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。
在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。
استنادا إلى تصنيف SOC المهني
عرض SKILL.md
| name | implementing-dragos-platform-for-ot-monitoring |
| description | 为OT网络监控部署和配置Dragos平台，利用其600+工业协议解析器、情报驱动的威胁检测分析和资产可见性能力，保护ICS环境免受VOLTZITE、GRAPHITE和BAUXITE等威胁组织的攻击。 |
| domain | cybersecurity |
| subdomain | ot-ics-security |
| tags | ["ot-security","ics","dragos","threat-detection","ot-monitoring","scada","threat-intelligence","ndr"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用于无ICS组件的纯IT网络监控、OT工作站的端点检测与响应（EDR），或已标准化使用Claroty或Nozomi的环境（参见相应技能）。
#!/usr/bin/env python3
"""Dragos平台部署验证和集成工具。
验证Dragos传感器部署、检查连通性，并
配置与企业SIEM的集成以进行OT告警转发。
"""
import json
import sys
import csv
from datetime import datetime
from typing import Optional, List, Dict
try:
import requests
except ImportError:
print("安装requests: pip install requests")
sys.exit(1)
class DragosPlatformManager:
"""与Dragos平台API交互进行OT监控管理。"""
def __init__(self, base_url: str, api_key: str, api_secret: str, verify_ssl: bool = True):
self.base_url = base_url.rstrip("/")
self.session = requests.Session()
self.session.headers.update({
"API-Key": api_key,
"API-Secret": api_secret,
"Content-Type": "application/json",
})
self.session.verify = verify_ssl
def get_sensors(self) -> List[Dict]:
"""获取所有已部署的Dragos传感器及其状态。"""
resp = self.session.get(f"{self.base_url}/api/v1/sensors")
resp.raise_for_status()
resp.json().get(, [])
() -> []:
params = {}
asset_type:
params[] = asset_type
resp = .session.get(, params=params)
resp.raise_for_status()
resp.json().get(, [])
() -> []:
params = {: severity, : limit}
resp = .session.get(, params=params)
resp.raise_for_status()
resp.json().get(, [])
() -> []:
params = {: severity}
resp = .session.get(, params=params)
resp.raise_for_status()
resp.json().get(, [])
() -> []:
resp = .session.get()
resp.raise_for_status()
resp.json().get(, [])
():
sensors = .get_sensors()
assets = .get_assets()
()
()
()
()
()
healthy_sensors =
sensor sensors:
status = sensor.get(, )
icon = status ==
()
()
()
()
status == :
healthy_sensors +=
()
()
()
asset_types = {}
asset assets:
atype = asset.get(, )
asset_types[atype] = asset_types.get(atype, ) +
atype, count (asset_types.items(), key= x: -x[]):
()
protocols = ()
asset assets:
protocols.update(asset.get(, []))
()
()
groups = .get_threat_groups()
()
group groups:
()
()
()
():
configs = {
: {
: ,
: ,
: {
: ,
: ,
: ,
: ,
: ,
},
: ,
: ,
: [
, , , ,
, , , ,
, ,
],
},
: {
: ,
: ,
: ,
: {
: ,
: ,
: ,
: ,
: ,
},
},
}
config = configs.get(siem_type, configs[])
()
(json.dumps(config, indent=))
config
__name__ == :
manager = DragosPlatformManager(
base_url=,
api_key=,
api_secret=,
verify_ssl=,
)
manager.validate_deployment()
manager.generate_siem_integration_config()
()
notifications = manager.get_notifications(severity=, limit=)
n notifications:
()
()
()
()
# Dragos平台检测配置
# 针对制造/能源环境调优
detection_configuration:
knowledge_pack:
auto_update: true
update_schedule: "weekly"
include_threat_groups:
- "VOLTZITE" # 针对能源行业，窃取OT图表
- "GRAPHITE" # 2025年新威胁组织，针对ICS
- "BAUXITE" # 2025年新威胁组织，针对ICS
- "CHERNOVITE" # 开发了PIPEDREAM/INCONTROLLER框架
- "ELECTRUM" # 与Industroyer/CrashOverride相关
- "KAMACITE" # 针对能源行业初始访问
detection_categories:
network_baseline:
enabled: true
learning_period_days: 30
alert_on:
- "new_communication_pair"
- "new_protocol_detected"
- "new_device_on_network"
- "protocol_anomaly"
threat_detection:
enabled: true
alert_on:
- "known_malware_ioc"
- "threat_group_ttp"
-
[, ]
[]
| 术语 | 定义 |
|---|---|
| Dragos平台 | 专为OT网络安全打造的平台，具备ICS环境的资产可见性、威胁检测和漏洞管理能力 |
| 知识包（Knowledge Pack） | Dragos威胁情报更新包，包含针对ICS特有新威胁、恶意软件和漏洞利用的检测分析 |
| SiteStore | Dragos中央管理服务器，汇聚站点内所有已部署传感器的数据 |
| VOLTZITE | Dragos追踪的威胁组织，针对能源行业OT环境，窃取GIS数据和ICS网络图 |
| PIPEDREAM/INCONTROLLER | 由CHERNOVITE开发的模块化ICS攻击框架，针对Schneider/OMRON PLC和OPC UA服务器 |
| 邻域守护者（Neighborhood Keeper） | Dragos社区防御计划，在参与的OT环境之间共享匿名化威胁数据 |
背景：部署在电力公司的Dragos传感器检测到异常的OPC UA浏览活动以及从工程师工作站窃取设备配置数据。
处理方法：
注意事项：不要将OPC UA浏览告警视为误报——VOLTZITE专门使用这一技术进行预置。确保Dragos知识包是最新的以检测最新的VOLTZITE指标。在收集取证证据之前不要重新镜像被攻陷的工作站。
DRAGOS OT监控部署报告
==========================================
站点: [站点名称]
日期: YYYY-MM-DD
传感器部署:
传感器总数: [数量]
正常运行: [数量]
覆盖率: [已监控OT网段的百分比]
资产可见性:
OT资产总数: [数量]
PLC: [数量] | HMI: [数量] | 网络设备: [数量]
协议: [列表]
威胁检测:
相关活跃威胁组织: [数量]
已加载检测分析: [数量]
告警（过去30天）: [按严重程度分类的数量]
SIEM集成:
状态: [已连接/未连接]
已转发事件（过去24小时）: [数量]