菜单
本技能涵盖为OT/ICS环境实施结构化补丁管理程序，在传统IT补丁方法可能导致过程中断或安全隐患的情况下进行管理。内容包括供应商兼容性测试、基于风险的补丁优先级排序、通过测试环境的分阶段部署、维护窗口协调、回滚程序，以及在因运营约束或供应商限制无法应用补丁时的补偿控制措施。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill implementing-patch-management-for-ot-systems命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。
实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。
在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。
基于 SOC 职业分类
正在显示 SKILL.md
| name | implementing-patch-management-for-ot-systems |
| description | 本技能涵盖为OT/ICS环境实施结构化补丁管理程序，在传统IT补丁方法可能导致过程中断或安全隐患的情况下进行管理。内容包括供应商兼容性测试、基于风险的补丁优先级排序、通过测试环境的分阶段部署、维护窗口协调、回滚程序，以及在因运营约束或供应商限制无法应用补丁时的补偿控制措施。 |
| domain | cybersecurity |
| subdomain | ot-ics-security |
| tags | ["ot-security","ics","scada","industrial-control","iec62443","patch-management","vulnerability-management"] |
| version | 1.0.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用于无OT考虑因素的纯IT补丁管理、活跃网络事件期间的紧急打补丁（参见performing-ot-incident-response），或更改PLC功能的固件升级（需要单独的变更管理）。
定义适用于OT环境的补丁管理生命周期，在该环境中可用性和安全性优先于即时漏洞修复。
#!/usr/bin/env python3
"""OT补丁管理程序管理器。
跟踪OT系统补丁，管理基于风险的优先级排序，
协调测试和部署，并记录无法打补丁系统的
补偿控制措施。
"""
import json
import sys
from collections import defaultdict
from dataclasses import dataclass, field, asdict
from datetime import datetime, timedelta
from enum import Enum
class PatchStatus(str, Enum):
IDENTIFIED = "identified"
EVALUATING = "evaluating"
TESTING = "testing"
APPROVED = "approved"
SCHEDULED = "scheduled"
DEPLOYED = "deployed"
DEFERRED = "deferred"
NOT_APPLICABLE = "not_applicable"
@dataclass
class OTPatch:
patch_id: str
vendor: str
product: str
affected_versions: str
cve_ids: list
cvss_score: float
ics_cert_advisory: str
description: str
status: str = PatchStatus.IDENTIFIED
identified_date: str = ""
evaluation_deadline: str = "" # 按CIP-007要求35天
test_date: str = ""
deployment_date: str = ""
affected_assets: list = field(default_factory=list)
test_results: =
compensating_controls: =
risk_rating: =
maintenance_window: =
rollback_procedure: =
:
():
.patches = []
.assets = {}
.vendor_feeds = {}
():
patch.evaluation_deadline:
identified = datetime.fromisoformat(patch.identified_date)
patch.evaluation_deadline = (identified + timedelta(days=)).isoformat()
.patches.append(patch)
():
patch .patches:
patch.status (PatchStatus.DEPLOYED, PatchStatus.NOT_APPLICABLE):
score = patch.cvss_score
patch.ics_cert_advisory:
score +=
asset_id patch.affected_assets:
asset = .assets.get(asset_id, {})
asset.get():
score +=
asset.get() (, ):
score +=
score = (score, )
score >= :
patch.risk_rating =
score >= :
patch.risk_rating =
score >= :
patch.risk_rating =
:
patch.risk_rating =
():
now = datetime.now()
approaching = []
patch .patches:
patch.status == PatchStatus.IDENTIFIED:
deadline = datetime.fromisoformat(patch.evaluation_deadline)
days_remaining = (deadline - now).days
days_remaining <= :
approaching.append((patch, days_remaining))
(approaching, key= x: x[])
():
patch .patches:
patch.patch_id == patch_id:
patch.status = PatchStatus.DEFERRED
patch.compensating_controls = compensating_controls
patch.test_results =
():
.prioritize_patches()
report = []
report.append( * )
report.append()
report.append()
report.append( * )
status_counts = defaultdict()
p .patches:
status_counts[p.status] +=
report.append()
status, count status_counts.items():
report.append()
approaching = .get_patches_needing_evaluation()
approaching:
report.append()
patch, days approaching:
report.append()
urgent = [p p .patches
p.risk_rating (, )
p.status (PatchStatus.DEPLOYED, PatchStatus.NOT_APPLICABLE)]
urgent:
report.append()
p urgent:
report.append()
report.append()
report.append()
report.append()
deferred = [p p .patches p.status == PatchStatus.DEFERRED]
deferred:
report.append()
p deferred:
report.append()
report.append()
report.append()
.join(report)
__name__ == :
manager = OTPatchManager()
manager.add_patch(OTPatch(
patch_id=,
vendor=,
product=,
affected_versions=,
cve_ids=[],
cvss_score=,
ics_cert_advisory=,
description=,
identified_date=,
affected_assets=[, , ],
))
manager.add_patch(OTPatch(
patch_id=,
vendor=,
product=,
affected_versions=,
cve_ids=[],
cvss_score=,
ics_cert_advisory=,
description=,
identified_date=,
affected_assets=[, ],
))
(manager.generate_report())
切勿将补丁直接部署到生产OT系统。使用镜像生产环境的测试环境验证补丁兼容性。
# OT补丁测试程序
patch_testing:
environment:
description: "镜像生产OT架构的预演实验室"
components:
- "与生产固件匹配的虚拟PLC模拟器"
- "带相同软件版本的测试HMI工作站"
- "带代表性数据的测试历史服务器"
- "与生产VLAN/防火墙匹配的网络配置"
test_cases:
functional:
- "PLC程序在OS补丁后正确执行"
- "HMI显示以正确的过程值更新"
- "历史服务器数据采集不间断"
- "报警和事件处理功能正常"
- "PLC间通信保持循环时间"
- "安全系统跳闸测试通过（如果SIS受影响）"
performance:
- "PLC扫描时间保持在可接受限度内（< 50ms增加）"
- "HMI屏幕刷新率不变"
- "历史服务器采集间隔保持不变"
- "区域间网络延迟不变"
compatibility:
- "第三方应用程序正常运行"
- "OPC UA/DA连接成功建立"
- "自定义脚本和批处理过程执行"
- "备份和恢复程序有效"
rollback:
- "系统可以恢复到补丁前状态"
- "回滚程序已记录并经过测试"
- "估计回滚时间: [N] 分钟"
| 术语 | 定义 |
|---|---|
| 补偿控制（Compensating Control） | 当无法部署补丁时应用的替代安全措施，例如防火墙规则、IPS签名或网络隔离 |
| 供应商兼容性（Vendor Compatibility） | OT供应商确认补丁（特别是OS补丁）与其控制系统软件兼容 |
| 维护窗口（Maintenance Window） | 系统修改的计划时间段，与过程关停或低风险运营期间对齐 |
| 虚拟打补丁（Virtual Patching） | 部署IDS/IPS规则检测和阻止针对已知漏洞的利用尝试，而无需修改目标系统 |
| 评估截止日期（Evaluation Deadline） | NERC CIP-007-6要求在补丁发布后35个日历天内完成评估 |
| 大修（Turnaround） | 过程装置的重大计划停机维护，提供大量OT打补丁的机会 |
OT补丁管理报告
============================
报告周期: YYYY-MM至YYYY-MM
补丁状态:
已识别: [N]
评估中: [N]
测试中: [N]
已部署: [N]
已推迟: [N]
合规性:
35天内评估: [N]/[N]（CIP-007-6 R2）
已部署或已缓解: [N]/[N]
带补偿控制措施的推迟: [N]