菜单
基于Purdue企业参考架构（PERA）模型实施网络隔离，将工业控制系统网络划分为从0级物理过程到5级企业的层次化安全区域，在OT和IT域之间强制执行严格的流量控制。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill implementing-purdue-model-network-segmentation命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
正在显示 SKILL.md
基于 SOC 职业分类
| name | implementing-purdue-model-network-segmentation |
| description | 基于Purdue企业参考架构（PERA）模型实施网络隔离，将工业控制系统网络划分为从0级物理过程到5级企业的层次化安全区域，在OT和IT域之间强制执行严格的流量控制。 |
| domain | cybersecurity |
| subdomain | ot-ics-security |
| tags | ["ot-security","ics","purdue-model","network-segmentation","iec62443","defense-in-depth","dmz","scada"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用于单个Purdue级别内的微隔离（参见implementing-zone-conduit-model-for-ics）、没有传统ICS网络的云原生环境，或纯IT环境中的网络隔离。
按照Purdue模型层次结构对所有网络资产和数据流进行分类。
#!/usr/bin/env python3
"""Purdue模型网络隔离规划器。
将现有OT/IT网络资产映射到Purdue模型级别，并生成
包括防火墙规则和VLAN分配的隔离建议。
"""
import json
import csv
import sys
from collections import defaultdict
from datetime import datetime
from typing import Dict, List
PURDUE_LEVELS = {
0: {
"name": "物理过程",
"description": "传感器、执行器、现场仪器",
"typical_devices": ["传感器", "执行器", "驱动器", "电机启动器"],
"vlan_range": "100-109",
"allowed_protocols": ["HART", "Profibus", "Foundation Fieldbus", "IO-Link"],
},
1: {
"name": "基本控制",
"description": "PLC、RTU、安全控制器",
"typical_devices": ["PLC", "RTU", "安全控制器", "DCS控制器"],
"vlan_range": "110-119",
"allowed_protocols": ["EtherNet/IP", "Profinet", "Modbus/TCP", "S7comm", "OPC UA"],
},
2: {
"name": ,
: ,
: [, , , ],
: ,
: [, , , , ],
},
: {
: ,
: ,
: [, , , ],
: ,
: [, , , ],
},
: {
: ,
: ,
: [, , , , ],
: ,
: [, , , ],
},
: {
: ,
: ,
: [, , , ],
: ,
: [, , , ],
},
: {
: ,
: ,
: [, , ],
: ,
: [, ],
},
}
:
():
.assets = []
.data_flows = []
.firewall_rules = []
():
(filepath, ) f:
.assets = (csv.DictReader(f))
()
():
classification = defaultdict()
asset .assets:
level = asset.get(, )
:
level = (level)
(ValueError, TypeError):
level = ._infer_purdue_level(asset)
classification[level].append(asset)
asset[] = level
classification
() -> :
device_type = asset.get(, ).lower()
mapping = {
: , : , : ,
: , : , : , : ,
: , : , : ,
: , : , : ,
: , : , : ,
: , : , : ,
}
keyword, level mapping.items():
keyword device_type:
level
-
() -> :
vlan_plan = []
level, info PURDUE_LEVELS.items():
assets_at_level = classification.get(level, [])
vlan_plan.append({
: level,
: info[],
: info[],
: (assets_at_level),
: info[],
})
vlan_plan
() -> :
rules = [
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
{
: ,
: ,
: ,
: ,
: ,
: ,
: ,
: ,
},
]
.firewall_rules = rules
rules
():
()
()
()
()
vlan_plan = .generate_vlan_plan(classification)
()
v vlan_plan:
()
()
()
()
()
rules = .generate_firewall_rules()
rule rules:
action_symbol = rule[] ==
()
()
()
()
__name__ == :
planner = PurdueSegmentationPlanner()
(sys.argv) >= :
planner.load_asset_inventory(sys.argv[])
classification = planner.classify_assets()
planner.print_segmentation_plan(classification)
DMZ是IT和OT之间的关键边界。所有数据交换必须通过它进行——不允许直接连接。
# 3.5级DMZ架构配置
# 所有IT-OT数据交换流量都通过DMZ
dmz_architecture:
zone_name: "IT_OT_DMZ"
purdue_level: 3.5
vlan: 150
components:
historian_replica:
purpose: "OT历史服务器数据的只读副本，供IT/业务访问"
direction: "OT将数据推送到DMZ（单向）"
ip: "10.10.150.10"
services:
- port: 1433
protocol: "SQL"
direction: "仅接受来自3级历史服务器的入站"
- port: 443
protocol: "HTTPS"
direction: "出站到4级供IT消费者访问"
jump_server:
purpose: "OT维护的受控远程访问点"
ip: "10.10.150.20"
services:
- port: 3389
protocol: "RDP"
direction: "接受来自4级并需要MFA的入站"
- port: 3389
protocol: "RDP"
direction: "仅出站到2级HMI"
security_controls:
| 术语 | 定义 |
|---|---|
| Purdue模型（PERA） | 按功能和信任度将工业网络组织为0-5级的层次化参考架构 |
| 3.5级DMZ | IT（4级）和OT（3级）之间的隔离区，所有跨边界数据交换在此发生 |
| 纵深防御（Defense in Depth） | 分层安全方法，要求攻击者突破多个边界才能到达关键控制系统 |
| 数据二极管（Data Diode） | 硬件强制执行的单向通信设备，确保数据只能从OT流向IT，不能反向 |
| 区域（Zone） | 按IEC 62443定义的，共享相同安全要求的资产逻辑分组 |
| 通道（Conduit） | 区域之间具有定义安全策略的受控通信路径 |
背景：审计发现企业IT系统可以直接与控制网络上的PLC通信。IT和OT之间没有DMZ，也没有防火墙。
方法：
注意事项：不要一次性切换所有流量——逐个迁移数据流并制定回滚计划。旧版OT系统可能使用无法通过执行DPI的防火墙的协议；先在实验室彻底测试。在活跃生产环境中部署DMZ时，必须在商定的维护窗口内进行。
PURDUE模型隔离报告
====================================
评估日期: YYYY-MM-DD
设施: [工厂名称]
当前状态:
网络类型: [扁平/部分隔离/完全隔离]
IT-OT边界: [无/防火墙/双防火墙DMZ]
直接IT到PLC路径: [数量]
推荐架构:
0-1级: VLAN 110（控制网络）
2级: VLAN 120（监控网络）
3级: VLAN 130（运营网络）
3.5级: VLAN 150（IT/OT DMZ）
4-5级: VLAN 200+（企业）
DMZ组件:
- 历史服务器副本
- 跳板服务器（启用MFA）
- 补丁暂存服务器
- AV中继服务器
防火墙规则: 已生成 [数量] 条规则
迁移步骤: 已规划 [数量] 个阶段