detecting-dnp3-protocol-anomalies

detecting-dnp3-protocol-anomalies 技能概览

这个技能是做什么的

detecting-dnp3-protocol-anomalies 技能用于分析 SCADA 环境中的 DNP3 流量，并标记看起来不安全、未经授权或偏离基线的行为。它最适合需要查看 DNP3 抓包或日志、但又不想先手动逆向每个数据包的 OT/ICS 防守人员、安全审计员和检测工程师。

它最擅长检测什么

这个 detecting-dnp3-protocol-anomalies 技能主要关注高价值的 DNP3 指标，例如未经授权的控制命令、可疑功能码、协议违规、重启尝试，以及偏离正常 master/outstation 行为模式的流量。它尤其适用于 DNP3 IDS 调优和 detecting-dnp3-protocol-anomalies for Security Audit 这类工作流，因为这类场景需要的是可辩护的结论，而不是泛泛一句“异常”。

适用场景与不适用场景

当 DNP3 在分析范围内，并且你手头有来自变电站或公用事业网络的数据包抓取、Zeek 日志或其他协议遥测时，就应该用它。不要把它当作非 DNP3 协议分析、Secure Authentication 设计，或广义网络异常检测的替代品；这些是不同问题，硬套进这个技能里只会得到更弱的结果。

如何使用 detecting-dnp3-protocol-anomalies 技能

安装并查看技能内容

先在你的 skills 环境中安装 detecting-dnp3-protocol-anomalies install 路径，然后先读技能入口文件：SKILL.md。接着查看 references/api-reference.md，了解功能码、日志字段和示例规则，再看 scripts/agent.py，了解检测逻辑和预期输入。如果你需要把握整个仓库结构，再检查 LICENSE 以及 references/ 下的支持文件。

提供正确的输入

detecting-dnp3-protocol-anomalies usage 这种用法在你提供以下任一类输入时效果最好：

• Zeek dnp3.log
• 包含 DNP3 流量的 pcap
• 简明的监控场景描述
• 已知基线信息，例如 masters、outstations 和维护窗口

更强的输入会像这样：“分析这份来自变电站的 Zeek dnp3.log，识别异常功能码，并把可能的维护流量与可疑的直接执行活动区分开。”像“帮我看看这个网络有没有异常”这种弱输入，给到技能的协议上下文太少。

使用与仓库一致的工作流

这个仓库支持一套很实用的顺序：先解析 DNP3 流量，再对照基线行为，检查高风险功能码，最后判断事件是预期、可疑还是严重。为了获得最佳效果，告诉模型你有哪些遥测数据、你环境里的“正常”是什么，以及你希望输出的是检测摘要、审计备注还是规则调优建议。如果你要把这个技能接入自己的技术栈，也尽量保持同样的顺序：采集、建基线、分类，然后报告。

提升输出质量的提示技巧

请求时要让模型输出协议相关结论，而不是泛泛的叙述。比如，你可以要求它“标记非工作时间的 OPERATE 或 DIRECT_OPERATE 事件、未知 masters、高于基线的突发流量，以及重启命令”，而不是笼统地“总结这个文件”。如果你是为了 detecting-dnp3-protocol-anomalies for Security Audit 使用它，就明确说明，并要求证据、时间戳、受影响主机和置信度，这样结果更容易复核或交接。

detecting-dnp3-protocol-anomalies 技能常见问题

这个技能只适用于 DNP3 吗？

是的。这个技能是针对 OT/ICS 环境中的 DNP3 流量优化的，不适用于 Modbus、通用 TCP 异常检测或无关的应用日志。如果你的环境里协议混杂，请只把它用在 DNP3 这一部分。

使用它一定需要数据包抓取吗？

不一定。Zeek 的 DNP3 日志通常已经足够做第一轮分诊，而当你需要核实功能码或数据包顺序细节时，pcap 能提供更多上下文。如果两者都有，pcap 更适合深入复核，日志更适合快速分诊。

这个技能适合新手吗？

只要你能提供抓包或日志，并描述环境，它对新手是可用的；但如果使用者理解 masters、outstations 和控制命令这些基本 DNP3 概念，输出会更有价值。如果你还不了解这些内容，先看前面引用的功能码表和日志字段示例，再去请求结论。

什么情况下应该跳过它？

如果你想设计 Secure Authentication、调查非 DNP3 入侵，或者构建一个缺少 OT 上下文的通用 SOC 告警，就不要用 detecting-dnp3-protocol-anomalies。如果你无法提供基线预期，它也不适合，因为异常检测本身依赖于知道“正常”是什么样子。

如何改进 detecting-dnp3-protocol-anomalies 技能

提供更好的基线背景

最能提升质量的做法，是先把正常行为讲清楚：授权的 masters、已知 outstations、预期轮询间隔、维护窗口，以及哪些命令是例行操作、哪些是罕见操作。没有这些信息，技能可能把正常操作当成可疑行为，也可能漏掉只有和基线对比才会显现的低速滥用。

明确你真正需要的输出

如果你希望结果真正有用，就把输出格式说清楚：分诊摘要、审计发现、检测规则候选，还是事件时间线。比如：“返回一张可疑 DNP3 事件表，包含时间戳、源、目的、功能码、原因和建议的后续动作。”这会比开放式解释得到更干净、更可执行的 detecting-dnp3-protocol-anomalies usage 结果。

留意常见失败模式

最常见的失败模式是上下文不足、协议混用，以及只看一个可疑字段就下结论而缺少佐证。单独一个 WRITE 或重启命令在 OT 里并不一定是恶意的，所以如果能提供主机 allowlist、维护背景和最近的变更单，请一并给出。如果第一轮结果噪声较大，可以缩小时间窗口，或者要求技能按严重性和置信度排序。

用具体示例反复迭代

如果第一次输出太宽泛，就给一两个示例事件，并说明它们为什么重要。比如：“这个 02:13 UTC 的 DIRECT_OPERATE 不是计划内维护；请解释它为什么高风险，以及哪些证据可以确认滥用。”这种提示会把 detecting-dnp3-protocol-anomalies skill 的输出从泛泛的告警，变成可辩护的审查材料。