القائمة
基于Purdue企业参考架构（PERA）模型实施网络隔离，将工业控制系统网络划分为从0级物理过程到5级企业的层次化安全区域，在OT和IT域之间强制执行严格的流量控制。
يُحدَّد Prompt الذي يراجع المصدر أولًا بشكل افتراضي. يمكنك التبديل إلى أمر مباشر أو تنزيل نسخة محلية.
اقرأ SKILL.md وأي ملفات مرافقة يعرضها SkillsMP قبل أن تقرر التثبيت.
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
يتجاوز الأمر المباشر Prompt المخصّص للمراجعة. افحص المصدر قبل تشغيله.
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill implementing-purdue-model-network-segmentationيبقى الأمر في سطر واحد. مرّر أفقيًا لمراجعته كاملًا قبل النسخ.
تفضّل نسخة محلية؟ نزّل الملفات المتاحة حاليًا لدى SkillsMP.
通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。
实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。
在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。
استنادا إلى تصنيف SOC المهني
عرض SKILL.md
| name | implementing-purdue-model-network-segmentation |
| description | 基于Purdue企业参考架构（PERA）模型实施网络隔离，将工业控制系统网络划分为从0级物理过程到5级企业的层次化安全区域，在OT和IT域之间强制执行严格的流量控制。 |
| domain | cybersecurity |
| subdomain | ot-ics-security |
| tags | ["ot-security","ics","purdue-model","network-segmentation","iec62443","defense-in-depth","dmz","scada"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用于单个Purdue级别内的微隔离（参见implementing-zone-conduit-model-for-ics）、没有传统ICS网络的云原生环境，或纯IT环境中的网络隔离。
按照Purdue模型层次结构对所有网络资产和数据流进行分类。
#!/usr/bin/env python3
"""Purdue模型网络隔离规划器。
将现有OT/IT网络资产映射到Purdue模型级别，并生成
包括防火墙规则和VLAN分配的隔离建议。
"""
import json
import csv
import sys
from collections import defaultdict
from datetime import datetime
from typing import Dict, List
PURDUE_LEVELS = {
0: {
"name": "物理过程",
"description": "传感器、执行器、现场仪器",
"typical_devices": ["传感器", "执行器", "驱动器", "电机启动器"],
"vlan_range": "100-109",
"allowed_protocols": ["HART", "Profibus", "Foundation Fieldbus", "IO-Link"],
},
1: {
"name": "基本控制",
"description": "PLC、RTU、安全控制器",
"typical_devices": ["PLC", "RTU", "安全控制器", "DCS控制器"],
"vlan_range": "110-119",
"allowed_protocols": ["EtherNet/IP", "Profinet", "Modbus/TCP", "S7comm", "OPC UA"],
},
2: {
"name": ,
: ,
: [, , , ],
: ,
: [, , , , ],
},
: {
: ,
: ,
: [, , , ],
: ,
: [, , , ],
},
: {
: ,
: ,
: [, , , , ],
: ,
: [, , , ],
},
: {
: ,
: ,
: [, , , ],
: ,
: [, , , ],
},
: {
: ,
: ,
: [, , ],
: ,
: [, ],
},
}
:
():
.assets = []
.data_flows = []
.firewall_rules = []
():
(filepath, ) f:
.assets = (csv.DictReader(f))
()
():
classification = defaultdict()
asset .assets:
level = asset.get(, )
:
level = (level)
(ValueError, TypeError):
level = ._infer_purdue_level(asset)
classification[level].append(asset)
asset[] = level
classification
() -> :
device_type = asset.get(, ).lower()
mapping = {
: , : , : ,
: , : , : , : ,
: , : , : ,
: , : , : ,
: , : , : ,
: , : , : ,
}
keyword, level mapping.items():
keyword device_type:
level
-
() -> :
vlan_plan = []
level, info PURDUE_LEVELS.items():
assets_at_level = classification.get(level, [])
vlan_plan.append({
: level,
: info[],
: info[],
: (assets_at_level),
: info[],
})
vlan_plan
() -> :
rules = [
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
]
.firewall_rules = rules
rules
():
()
()
()
()
vlan_plan = .generate_vlan_plan(classification)
()
v vlan_plan:
()
()
()
()
()
rules = .generate_firewall_rules()
rule rules:
action_symbol = rule[] ==
()
()
()
()
__name__ == :
planner = PurdueSegmentationPlanner()
(sys.argv) >= :
planner.load_asset_inventory(sys.argv[])
classification = planner.classify_assets()
planner.print_segmentation_plan(classification)
DMZ是IT和OT之间的关键边界。所有数据交换必须通过它进行——不允许直接连接。
# 3.5级DMZ架构配置
# 所有IT-OT数据交换流量都通过DMZ
dmz_architecture:
zone_name: "IT_OT_DMZ"
purdue_level: 3.5
vlan: 150
components:
historian_replica:
purpose: "OT历史服务器数据的只读副本，供IT/业务访问"
direction: "OT将数据推送到DMZ（单向）"
ip: "10.10.150.10"
services:
- port: 1433
protocol: "SQL"
direction: "仅接受来自3级历史服务器的入站"
- port: 443
protocol: "HTTPS"
direction: "出站到4级供IT消费者访问"
jump_server:
purpose: "OT维护的受控远程访问点"
ip: "10.10.150.20"
services:
- port: 3389
protocol: "RDP"
direction: "接受来自4级并需要MFA的入站"
- port: 3389
protocol: "RDP"
direction: "仅出站到2级HMI"
security_controls:
| 术语 | 定义 |
|---|---|
| Purdue模型（PERA） | 按功能和信任度将工业网络组织为0-5级的层次化参考架构 |
| 3.5级DMZ | IT（4级）和OT（3级）之间的隔离区，所有跨边界数据交换在此发生 |
| 纵深防御（Defense in Depth） | 分层安全方法，要求攻击者突破多个边界才能到达关键控制系统 |
| 数据二极管（Data Diode） | 硬件强制执行的单向通信设备，确保数据只能从OT流向IT，不能反向 |
| 区域（Zone） | 按IEC 62443定义的，共享相同安全要求的资产逻辑分组 |
| 通道（Conduit） | 区域之间具有定义安全策略的受控通信路径 |
背景：审计发现企业IT系统可以直接与控制网络上的PLC通信。IT和OT之间没有DMZ，也没有防火墙。
方法：
注意事项：不要一次性切换所有流量——逐个迁移数据流并制定回滚计划。旧版OT系统可能使用无法通过执行DPI的防火墙的协议；先在实验室彻底测试。在活跃生产环境中部署DMZ时，必须在商定的维护窗口内进行。
PURDUE模型隔离报告
====================================
评估日期: YYYY-MM-DD
设施: [工厂名称]
当前状态:
网络类型: [扁平/部分隔离/完全隔离]
IT-OT边界: [无/防火墙/双防火墙DMZ]
直接IT到PLC路径: [数量]
推荐架构:
0-1级: VLAN 110（控制网络）
2级: VLAN 120（监控网络）
3级: VLAN 130（运营网络）
3.5级: VLAN 150（IT/OT DMZ）
4-5级: VLAN 200+（企业）
DMZ组件:
- 历史服务器副本
- 跳板服务器（启用MFA）
- 补丁暂存服务器
- AV中继服务器
防火墙规则: 已生成 [数量] 条规则
迁移步骤: 已规划 [数量] 个阶段