메뉴
按照SANS PICERL框架、IEC 62443和NIST SP 800-82，开发并实施OT专用事件响应剧本，解决包括安全关键系统、有限停机容忍度以及IT SOC、OT工程和工厂运营团队协调等ICS特有挑战。
기본적으로 소스를 먼저 확인하는 Prompt가 선택됩니다. 직접 명령으로 전환하거나 로컬 사본을 다운로드할 수도 있습니다.
설치 여부를 결정하기 전에 SKILL.md와 SkillsMP에 표시된 보조 파일을 읽어 보세요.
Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.
직접 명령은 검토 Prompt를 거치지 않습니다. 실행하기 전에 소스를 확인하세요.
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill implementing-ot-incident-response-playbook명령은 한 줄로 유지됩니다. 복사하기 전에 가로로 스크롤해 전체 내용을 확인하세요.
로컬 사본을 원하시나요? SkillsMP에서 현재 제공할 수 있는 파일을 다운로드하세요.
SKILL.md 표시 중
SOC 직업 분류 기준
| name | implementing-ot-incident-response-playbook |
| description | 按照SANS PICERL框架、IEC 62443和NIST SP 800-82，开发并实施OT专用事件响应剧本，解决包括安全关键系统、有限停机容忍度以及IT SOC、OT工程和工厂运营团队协调等ICS特有挑战。 |
| domain | cybersecurity |
| subdomain | ot-ics-security |
| tags | ["ot-security","ics","incident-response","playbook","sans","iec62443","nist","safety-critical"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用于无OT组件的纯IT事件响应（使用标准NIST 800-61剧本）、日常OT安全监控（参见implementing-dragos-platform-for-ot-monitoring），或桌面推演设计（参见performing-ics-tabletop-exercise）。
#!/usr/bin/env python3
"""OT事件响应剧本引擎。
按照SANS PICERL生命周期，针对安全性、
可用性和跨团队协调的ICS特定考虑因素，
实施结构化的OT事件响应程序。
"""
import json
import sys
from datetime import datetime
from enum import Enum
from typing import Dict, List, Optional
class OTIncidentSeverity(Enum):
SEV1_SAFETY = "SEV1-SAFETY" # 安全系统受损
SEV2_PROCESS = "SEV2-PROCESS" # 主动过程操控
SEV3_ACCESS = "SEV3-ACCESS" # 未授权OT访问
SEV4_RECON = "SEV4-RECON" # OT网络侦察
SEV5_IT_SPILLOVER = "SEV5-IT-SPILLOVER" # 有OT暴露的IT事件
class OTIncidentCategory(Enum):
RANSOMWARE = "ransomware"
MALWARE_ICS = "malware_ics_specific"
UNAUTHORIZED_ACCESS = "unauthorized_ot_access"
PROCESS_MANIPULATION = "process_manipulation"
SIS_COMPROMISE = "safety_system_compromise"
DATA_EXFILTRATION = "ot_data_exfiltration"
SUPPLY_CHAIN = "supply_chain_compromise"
INSIDER_THREAT = "insider_threat"
# OT的PICERL阶段定义
PICERL_PHASES = {
"preparation": {
"description": "事件发生前的准备工作",
"ot_specific": [
"维护所有PLC程序和HMI配置的离线备份",
"记录每个过程区域的安全关闭程序",
,
,
,
,
],
},
: {
: ,
: [
,
,
,
,
,
,
],
},
: {
: ,
: [
,
,
,
,
,
,
],
},
: {
: ,
: [
,
,
,
,
,
,
],
},
: {
: ,
: [
,
,
,
,
,
,
],
},
: {
: ,
: [
,
,
,
,
,
,
],
},
}
:
():
. =
.title = title
.severity = severity
.category = category
.affected_systems = affected_systems
.created = datetime.now().isoformat()
.current_phase =
.timeline = []
.decisions = []
.containment_actions = []
():
entry = {
: datetime.now().isoformat(),
: phase,
: action,
: actor,
: notes,
}
.timeline.append(entry)
entry
():
entry = {
: datetime.now().isoformat(),
: decision,
: rationale,
: approved_by,
}
.decisions.append(entry)
entry
:
():
.playbooks = ._build_playbooks()
() -> :
{
OTIncidentCategory.RANSOMWARE: {
: ,
: ,
: [
,
,
,
,
,
,
],
: [
,
,
,
,
,
],
: [
,
,
,
,
,
,
],
: [
,
,
,
],
},
OTIncidentCategory.SIS_COMPROMISE: {
: ,
: ,
: [
,
,
,
,
,
,
],
: [
,
,
,
,
,
],
: [
,
,
,
,
],
: [
,
,
,
],
},
}
():
playbook = .playbooks.get(incident.category)
playbook:
()
()
()
()
()
()
()
()
()
()
()
()
()
i, action (playbook[], ):
()
()
i, step (playbook[], ):
()
()
item playbook[]:
()
()
req playbook[]:
()
()
phase, info PICERL_PHASES.items():
()
item info[][:]:
()
__name__ == :
engine = OTPlaybookEngine()
incident = OTIncident(
title=,
severity=OTIncidentSeverity.SEV2_PROCESS,
category=OTIncidentCategory.RANSOMWARE,
affected_systems=[, , , ],
)
engine.execute_playbook(incident)
| 术语 | 定义 |
|---|---|
| PICERL | SANS事件响应生命周期：准备（Preparation）、识别（Identification）、遏制（Containment）、清除（Eradication）、恢复（Recovery）、经验教训（Lessons Learned） |
| ICS4ICS | 工业控制系统事件指挥系统 - 将FEMA ICS适配到OT网络安全响应 |
| 安全仪表系统（SIS） | 防止危险条件的独立安全控制器；SIS被攻陷可能造成人身伤害 |
| 手动/本地模式（Manual/Local Mode） | 使用本地面板控制操作PLC而非远程SCADA；当远程访问被攻陷时使用 |
| CIRCIA | 关键基础设施网络事件报告法案，要求在72小时内向CISA报告 |
| 已知良好备份（Known-Good Backup） | 经验证的PLC程序和配置离线副本，用作恢复的可信基线 |
背景：勒索软件加密企业IT系统，并通过防护不足的IT/OT管道蔓延到3级历史服务器。2级HMI开始显示连接错误。
处理方法：
注意事项：不要关闭PLC来"保护"它们免受勒索软件影响 — PLC运行固件而非Windows，通常不受勒索软件影响。关闭PLC会中断物理过程。在IT侧完全修复之前，切勿重新连接IT-OT管道。
OT事件响应报告
==============================
事件ID: OT-IR-YYYYMMDD-HHMMSS
严重程度: SEV[1-5]
类别: [类别]
状态: [活跃/已遏制/已清除/已恢复/已关闭]
时间线:
[时间戳] - [阶段] - [操作] - [执行人]
受影响系统:
安全系统: [状态]
过程控制器: [状态]
HMI/SCADA: [状态]
历史服务器: [状态]
决策日志:
[时间戳] - [决策] - [理由] - [批准人]
已采取的遏制措施:
1. [操作和时间戳]
恢复状态:
[系统] - [已恢复/待恢复] - [预计完成时间]