detecting-stuxnet-style-attacks
作者 mukul975detecting-stuxnet-style-attacks 技能可協助防禦者偵測類 Stuxnet 的 OT 與 ICS 入侵模式，包括 PLC 邏輯竄改、感測器資料偽造、工程工作站遭入侵，以及 IT 到 OT 的橫向移動。適合用於威脅狩獵、事件初步分流與製程完整性監控，並可結合通訊協定、主機與程序層證據進行判讀。
此技能評分為 78/100，代表它很適合作為 Agent Skills Finder 的收錄候選。相較於泛泛的資安描述，它提供了足夠具體的 OT/ICS 偵測工作流程細節，足以支撐安裝決策；但在設定與端到端可用性上，仍有一些採用上的顧慮。
- 針對特定用途的觸發性很強：類 Stuxnet 的 OT/ICS 攻擊偵測，並明確提供「何時使用」與「勿使用」指引。
- 技能與支援檔中都有實務上有用的內容，包括 Modbus/S7comm 指標、tshark 篩選條件，以及用於 PCAP 分析的 Python agent script。
- 對偵測工作很有 agent 效益：涵蓋 PLC 邏輯完整性、程序異常偵測、橫向移動，以及跨主機與網路證據的 IOC 式檢查。
- SKILL.md 中沒有安裝指令，因此使用者可能需要自行摸索啟用或整合步驟。
- 這個 repo 看起來以偵測與技術分析為主，但現有證據未完全顯示出一套完善的端到端工作流程，或能適用所有情境的驗證指引。
detecting-stuxnet-style-attacks 技能總覽
這個技能是用來做什麼的
detecting-stuxnet-style-attacks skill 可協助你在 OT 與 ICS 環境中偵測類 Stuxnet 的網實整合入侵模式：未授權的 PLC 邏輯變更、偽造感測器資料、工程工作站遭入侵，以及讓製程遭到操控的 IT-to-OT 路徑。它最適合用在 detecting-stuxnet-style-attacks for Threat Hunting、事件初步分流，或控制系統監控等場景，因為這些情境裡「一般」網路告警往往不夠用。
誰適合使用
如果你是 SOC 分析師、OT 資安工程師、威脅獵捕人員，或正在高價值工業目標上做紅藍對抗的 purple team 成員，就適合使用這個 detecting-stuxnet-style-attacks skill。當你需要把封包證據、主機指標與製程行為串成一條完整的偵測敘事，而不是只追著零散的 IOC 跑時，它尤其有用。
這個技能有什麼不同
這個技能不是泛用的 SCADA 告警提示。它聚焦在 PLC 完整性、通訊協定層級的寫入活動、工程工作站入侵，以及具備物理意識的異常偵測。換句話說，當問題是「製程是不是被悄悄改掉了？」而不是「有沒有看到惡意程式流量？」時，它會更對題。
如何使用 detecting-stuxnet-style-attacks skill
安裝並載入
執行 detecting-stuxnet-style-attacks install 時，請在你的 skills 管理工具中使用這個 repository 路徑：npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-stuxnet-style-attacks。安裝完成後，先打開 skills/detecting-stuxnet-style-attacks/SKILL.md 來確認適用範圍，再閱讀支撐偵測邏輯的相關檔案。
先提供正確的輸入
這個技能在你提供證據時效果最好，而不是只有模糊的懷疑。好的輸入包括：
- OT 區段的 PCAP 或封包摘要
- PLC 型號與通訊協定細節，例如 Modbus 或 S7comm
- 製程異常或非預期設定點變更的時間線
- 工程工作站事件、USB 活動，或遠端存取紀錄
- PLC 邏輯或製程行為的已知良好基準
較弱的提示會是「幫我檢查這個網路有沒有 Stuxnet。」更強的提示則是：「分析這些 Modbus 與 S7comm 流量，再加上端點日誌，找出是否有符合 Stuxnet 式操控的 PLC 寫入、block download 與製程偽裝跡象。」
依照這個順序閱讀檔案
如果要實際使用 detecting-stuxnet-style-attacks，建議先預覽以下檔案：
SKILL.md：看流程與判斷節點references/api-reference.md：看協定與 IOC 提示scripts/agent.py：看偵測邏輯如何落地執行
這個 repo 結構精簡，所以這些檔案幾乎已經把技能如何推理、需要什麼證據說得很完整。
在威脅獵捕流程中使用
一個實用的流程是：先辨識 OT 資產與通訊協定，再找可寫入的操作，接著檢查 PLC download 或 stop/start 活動，最後把這些和主機遭入侵的指標及製程異常串聯起來。detecting-stuxnet-style-attacks guide 最有價值的用法，是要求模型把觀察結果映射成一條攻擊鏈，而不只是列出指標。為了得到更好的結果，請一起提供「應該發生什麼」、「實際發生什麼」，以及你信任的基準。
detecting-stuxnet-style-attacks skill 常見問題
這只適用於 Stuxnet 本身嗎？
不是。它是為 Stuxnet 式行為設計的：隱蔽的 PLC 操控、分階段的 IT-to-OT 移動，以及對操作人員的欺騙。即使惡意程式家族不同，只要手法像 Stuxnet，這個技能就很有用。
可以拿來做一般 OT 告警嗎？
通常不行。如果你只需要泛用的 OT IDS 或 SCADA 入侵偵測，這個技能可能太專門了。它最強的情境是需要更深入的 detecting-stuxnet-style-attacks for Threat Hunting 與製程完整性驗證時。
使用它需要惡意程式樣本嗎？
不需要。這個技能是以遙測資料與控制系統證據為核心。你可以搭配 PCAP、日誌、主機工件、PLC 變更歷史與製程資料使用它。惡意程式逆向分析是另一個問題。
對初學者友善嗎？
如果你有清楚的案例，而且能提供結構化證據，它是初學者也能上手的。但如果你不了解目標通訊協定、資產類型，或不知道「正常」的製程行為長什麼樣子，這個技能就不太有幫助。
如何改善 detecting-stuxnet-style-attacks skill
用結構化的證據包提供資料
當你把輸入整理成一組有關聯的資訊時，這個技能表現會更好：時間區間、受影響資產、通訊協定、遙測類型，以及懷疑的結果。例如：「UTC 10:15–10:40、Siemens PLC、S7comm 與 Windows 日誌、非預期的 block download、但操作員 HMI 仍顯示正常數值。」這會比沒有上下文的原始 dump 實用得多。
要求模型串出一條攻擊鏈，而不是只看單一指標
最大的品質提升，來自要求模型把事件串成攻擊路徑：初始入侵、工程工作站遭入侵、PLC 修改、隱蔽手法，以及製程影響。這和 repository 的重點一致，也能避免輸出只停留在淺層 IOC 列舉。
注意常見失敗模式
如果你沒有提供基準、把 IT 與 OT 日誌混在一起卻沒有時間戳，或是用不完整證據要求模型下定論，結果通常會變弱。如果第一次的答案太過泛泛，就補上 references/api-reference.md 裡的協定細節，並要求模型區分正常維護與惡意的寫入、下載或 PLC stop/start 動作。
用有針對性的追問反覆迭代
先用第一輪找出可疑資產與通訊協定，再用第二個問題聚焦在攻擊鏈中的某個關節。好的追問像是：「哪些事件顯示 PLC 邏輯可能被竄改？」或「哪些工件支持感測器讀值被偽造，而不是單純的製程異常？」這種縮小範圍的方式，通常比要求更廣泛的總結更能提升 detecting-stuxnet-style-attacks usage。