ICS セキュリティ は何をしますか？
アクション必須（読んだらすぐ実行）
NOW:../field-journal/precedent-pentest.mdを読む — 工場環境での誤操作は物理的危険を引き起こす可能性がありますNOW: 書面による許可には以下を明記する必要があります：サイト、ネットワークセグメント、能動的スキャン/レジスタ書き込みの可否NOW: case-init；デフォルトは passive-first；ready_for_actまで PLC への書き込み操作を禁止NEXT: tool-index；ほとんどの制御ツールは手動で隔離実験ネットワークに接続する必要がありますACT: アセットとゾーンの識別 → 露出面 → 読み取り専用検証
適用シナリオ
- 制御/SCADA/DCS セキュリティ評価（許可済み）
- Purdue モデルゾーニングとゾーン間チャネル
- Modbus/DNP3/S7/EtherNet/IP などのプロトコル露出
- エンジニアリングワークステーション、HMI、ヒストリアン、ジャンプホスト
- IT/OT 融合境界（ファイアウォールルール、一方通行ゲートウェイ）
安全の鉄則（MUST）
MUST NOT 明示的に許可されていない場合：
- PLC へのコイル/レジスタ書き込み
- 生産 OT に対する高レートスキャン
- 安全計装システム（SIS）関連パスの中断
優先：読み取り専用識別、トラフィックミラーリング、オフラインファームウェア/設定分析
ワークフロー
フェーズ 1 — ゾーニングとアセット
□ Purdue L0–L5 スケッチ：現場デバイス → 制御 → 監視 → サイトDMZ → エンタープライズ
□ アセットリスト：PLC/RTU/HMI/EWS/ヒストリアン/ジャンプホスト
□ プロトコルとポートベースライン（許可されたセグメントのみ）
フェーズ 2 — パッシブと読み取り専用
□ SPAN/ミラー PCAP → protocol-reverse / Wireshark 産業用パーサー
□ 設定とプロジェクトファイルのオフライン監査（TIA/RSLogix エクスポートなど）
□ デフォルトパスワードと平文プロトコル（Modbus の認証欠如）を Finding として記録、ディスク書き込みや値変更は行わない
フェーズ 3 — 制限付きアクティブ（許可がある場合のみ）
□ 低速識別、メンテナンスウィンドウ内
□ 読み取り専用ファンクションコード優先
□ 各ステップの Evidence；異常があれば即座に停止し報告
フェーズ 4 — ファームウェア/パッチ面
□ コントローラファームウェアバージョン → CVE マッピング（ファームウェアの盲目的書き込みは行わない）
□ firmware-pentest と連携してオフラインイメージ分析
ツールチェーン
| ツール | 用途 | 注意 |
|---|---|---|
| Wireshark 産業用 dissectors | パッシブ解析 | ミラーリングされたトラフィック |
| Nmap NSE（制限付き） | 識別 | レートと時間枠に注意 |
| Claroty/Nozomi など | 資産発見 | 商用/現場用 |
| PLC ベンダーエンジニアリングソフト | 設定監査 | オフライン優先 |
| binwalk / Ghidra | ファームウェア | オフライン |
参考
references/ot-safe-assessment.md../firmware-pentest/../protocol-reverse/../networkvia pentest-tools
ルーティングコンテキスト
上流: MASTER R28
下流: ファームウェア詳細分析 firmware-pentest；プロトコル protocol-reverse；IT 横断 windows-ad/attack-chain
同レベル: 通常のWebスキャンのデフォルトパラメータでOTを攻撃しないこと
タスク完了自己チェック
- デフォルトでパッシブ/読み取り専用であり、許可境界を記録したか？
- 制御ループへの書き込み操作を避けたか（明示的に許可されていない限り）？
- Finding に物理的/プロセスへの影響説明を含めたか？
- Checklist / journal？