ICS Anomaly Detection — ML monitoring for OT/ICS environments (Modbus/DNP3/OPC UA)

Prérequis : sondes de monitoring réseau passives sur les ports SPAN/TAP du réseau OT ; 2–4 semaines de capture de trafic de baseline en opérations normales ; Python 3.9+ avec scikit-learn, numpy, pandas ; accès à l'historien de process ; compréhension des patterns opérationnels normaux (changements de poste, batchs, fenêtres de maintenance) Installe-moi « Détection d'anomalies ICS — monitoring ML pour environnements OT/ICS (Modbus/DNP3/OPC UA) ». Il donne à mon agent le workflow défensif de détection d'anomalies OT de @mukul975 : construire des baselines multi-dimensionnelles des communications SCADA déterministes (timing, comportement protocole, topologie), les combiner à des modèles physiques de process et à l'analyse du trafic Modbus/DNP3/OPC UA, et signaler déviations, appareils inconnus et écarts d'historien — avec mappings MITRE ATT&CK, NIST CSF et NIST AI RMF. Licence Apache-2.0. Dépôt : https://github.com/mukul975/anthropic-cybersecurity-skills/blob/main/skills/detecting-anomalies-in-industrial-control-systems/SKILL.md 1. Récupère le fichier SKILL.md (et les fichiers d'aide éventuels) depuis le chemin du dépôt dans un dossier temporaire et résume en une ou deux phrases ce qu'il fait. 2. Vérification de sécurité : examine le SKILL.md et les scripts pour tout contenu suspect (appels réseau inattendus, commandes shell, collecte d'identifiants). Ce dépôt ne devrait contenir aucun secret en dur. Vérifie que c'est bien le cas ici ; STOP sur tout signal d'alerte et dis-le-moi. 3. Installe-le comme skill : copie le SKILL.md et ses fichiers d'aide dans le répertoire des skills de l'agent, dans un dossier nommé « detecting-anomalies-in-industrial-control-systems ». 4. Vérifie sans appels réseau : frontmatter valide, fichiers en place. 5. Indique ce qui a été installé, où, et ce qu'il me reste à faire moi-même (p. ex. confirmer la couverture SPAN/TAP de mes segments OT ; organiser 2–4 semaines de capture de baseline ; obtenir l'accès à l'historien de process ; NE PAS utiliser ceci comme remplacement des systèmes instrumentés de sécurité). GitHub est optionnel : si j'ai un compte GitHub ou la CLI gh, tu peux l'utiliser ; sinon l'accès public suffit. Ne jamais l'exiger sauf s'il figure dans les prérequis ci-dessus. Règles : ne touche à rien en dehors du dossier temporaire et de la cible d'installation. Si quelque chose semble anormal, arrête-toi et demande-moi.