detecting-stuxnet-style-attacks
作者 mukul975detecting-stuxnet-style-attacks 技能可帮助防守方检测类似 Stuxnet 的 OT 和 ICS 入侵模式，包括 PLC 逻辑篡改、伪造传感器数据、工程师工作站被入侵，以及 IT 到 OT 的横向移动。可用于威胁狩猎、事件分诊和工艺完整性监控，并结合协议、主机和进程证据进行分析。
该技能得分 78/100，说明它是 Agent Skills Finder 中一个不错的候选条目。它为目录用户提供了足够具体的 OT/ICS 检测工作流细节，而不只是泛泛的网络安全描述，因此有安装价值；但在部署设置和端到端可用性方面，仍有一定上手门槛。
- 针对性很强：明确面向 Stuxnet 风格的 OT/ICS 攻击检测，并给出了清晰的 "When to Use" 和 "Do not use" 指引。
- 技能正文和支持文件都包含了可直接用于实战的检测内容，包括 Modbus/S7comm 指标、tshark 过滤器，以及用于 PCAP 分析的 Python agent 脚本。
- 对检测工作很有帮助：覆盖 PLC 逻辑完整性、进程异常检测、横向移动，以及基于主机和网络证据的 IOC 式检查。
- SKILL.md 中没有安装命令，用户可能需要自行摸索激活或集成步骤。
- 仓库整体偏向检测和技术实现，但现有证据并不能充分展示一个打磨完善的端到端工作流，或覆盖所有场景的验证说明。
detecting-stuxnet-style-attacks 技能概览
这个技能是做什么的
detecting-stuxnet-style-attacks 技能用于检测 OT 和 ICS 环境中的 Stuxnet 式网络-物理入侵模式：未授权的 PLC 逻辑改动、伪造传感器数据、工程师工作站被攻陷，以及支撑过程操控的 IT 到 OT 传播路径。它最适合做 detecting-stuxnet-style-attacks for Threat Hunting、事件分诊或控制系统监控的防守人员，尤其是在“正常”网络告警已经不够用的时候。
适合谁使用
如果你是 SOC 分析师、OT 安全工程师、威胁猎手，或者在高价值工业目标上做紫队演练的人，就适合使用这个 detecting-stuxnet-style-attacks skill。当你需要把网络包证据、主机指标和过程行为串成一条完整的检测链路，而不是只盯着零散 IOC 时，它尤其有价值。
它有什么不同
这个技能不是通用的 SCADA 告警提示词。它的重点放在 PLC 完整性、协议层写入行为、工程师工作站被攻陷，以及面向物理过程的异常检测上。因此，当你的问题是“过程是不是被悄悄改了？”而不是“有没有看到恶意流量？”时，它会更合适。
如何使用 detecting-stuxnet-style-attacks 技能
安装并加载
执行 detecting-stuxnet-style-attacks install 时，请在你的 skills manager 中使用这个仓库路径：npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-stuxnet-style-attacks。安装后，先打开 skills/detecting-stuxnet-style-attacks/SKILL.md 确认适用范围，再阅读驱动检测逻辑的配套文件。
先提供正确的输入
这个技能在你提供证据时效果最好，而不是只给一个模糊怀疑。高质量输入包括：
- OT 片段的 PCAP 或流量摘要
- PLC 型号和协议细节，例如 Modbus 或 S7comm
- 过程异常或未计划设定值变更的时间线
- 工程师工作站事件、USB 活动或远程访问日志
- PLC 逻辑或过程行为的已知良好基线
弱一点的提问是“帮我看看这个网络有没有 Stuxnet”。更强的提问是： “结合这些 Modbus 和 S7comm 流量以及端点日志，分析是否存在与 Stuxnet 式操控一致的 PLC 写入、块下载和过程伪装迹象。”
按这个顺序阅读文件
对于实用的 detecting-stuxnet-style-attacks usage，建议先看这些文件：
SKILL.md：工作流程和决策点references/api-reference.md：协议和 IOC 线索scripts/agent.py：检测逻辑如何落地执行
这个 repo 很紧凑，所以这些文件基本就能告诉你这个技能如何推理，以及它期待什么样的证据。
放进威胁狩猎工作流里使用
比较好的工作流是：先识别 OT 资产和协议，再查找具备写入能力的操作，然后检查是否存在 PLC 下载或 stop/start 活动，最后把这些和主机失陷迹象以及过程异常关联起来。detecting-stuxnet-style-attacks guide 最适合让模型把观察结果串成一条攻击链，而不是只罗列指标。为了得到更好的结果，请同时提供应该发生了什么、实际发生了什么，以及你信任的基线是什么。
detecting-stuxnet-style-attacks 技能 FAQ
这只适用于 Stuxnet 本身吗？
不是。它针对的是 Stuxnet 式行为：隐蔽的 PLC 操控、分阶段的 IT 到 OT 横向移动，以及对操作员的欺骗。即使恶意软件家族不同，只要战术手法类似 Stuxnet，这个技能依然有用。
可以拿来做基础 OT 告警吗？
通常不太适合。如果你只需要通用的 OT IDS 或 SCADA 入侵检测，这个技能大概率过于专精。它最强的场景是更深入的 detecting-stuxnet-style-attacks for Threat Hunting 和过程完整性验证。
使用它需要恶意软件样本吗？
不需要。这个技能是围绕遥测数据和控制系统证据设计的。你可以输入 PCAP、日志、主机工件、PLC 变更历史和过程数据。恶意软件逆向是另一个问题。
适合新手吗？
如果你有清晰的案例，并且能提供结构化证据，它是可以上手的。对于不知道目标协议、资产类型，或者不了解“正常”过程行为应该是什么样的用户来说，它的帮助会有限一些。
如何改进 detecting-stuxnet-style-attacks 技能
以结构化信息包的形式提供证据
当你把输入按组提供时，这个技能表现更好：时间窗口、受影响资产、协议、遥测类型，以及怀疑的结果。例如：“UTC 10:15–10:40，Siemens PLC，S7comm 和 Windows 日志，出现意外块下载，但操作员 HMI 仍显示正常数值。”这比没有上下文的原始转储更有用。
要求它给出一条链路，而不是单个指标
质量提升最大的方式，是要求模型把事件串成一条攻击路径：初始访问、工程师工作站失陷、PLC 修改、隐蔽动作，以及对过程的影响。这与仓库的重点一致，也能避免只输出浅层 IOC。
留意常见失败模式
如果你没有提供基线、把 IT 和 OT 日志混在一起却没有时间戳，或者在证据不完整时要求它给出确定结论，结果就会变弱。若第一次回答过于泛泛，补充 references/api-reference.md 里的协议细节，并要求模型区分正常维护与恶意写入、下载或 PLC stop/start 动作。
用定向追问做迭代
第一轮先识别可疑资产和协议，然后第二轮把问题聚焦到链路中的一个节点。比较好的追问包括：“哪些事件说明 PLC 逻辑可能被篡改？”或者“哪些工件支持传感器读数被伪造，而不是正常的工艺波动？”这种收窄范围的方式，通常比继续要一个更宽泛的总结更能提升 detecting-stuxnet-style-attacks usage。