DNP3 Protocol Anomaly Detection — IDS for SCADA/ICS energy-sector traffic
Sécurité défensive : détecter les anomalies dans les communications DNP3 des systèmes SCADA/ICS — surveiller les commandes de contrôle non autorisées, les tentatives de mise à jour firmware et les violations de protocole sur TCP port 20000 ou liaisons série, par inspection profonde de paquets et machine learning
- Quoi
- Sécurité défensive : détecter les anomalies dans les communications DNP3 des systèmes SCADA/ICS — surveiller les commandes de contrôle non autorisées, les tentatives de mise à jour firmware et les violations de protocole sur TCP port 20000 ou liaisons série, par inspection profonde de paquets et machine learning
- Coût
- Gratuit
- Prérequis
- TAP/SPAN réseau sur les segments de communication DNP3 (TCP port 20000 ou série) ; une baseline du trafic DNP3 normal (masters, outstations, intervalles de polling, function codes) ; Suricata ou Zeek avec parser protocole DNP3 activé ; une carte de topologie de communication DNP3
- Installation
- Copiez le prompt d’installation ci-dessous dans votre Muse — votre agent fait le reste.
Sélectionné par Skill Harbor — le skill detecting-dnp3-protocol-anomalies de @mukul975, listé ici avec crédit à son créateur (écrit par mahipal, sécurité OT/ICS purement défensive) : détecter les anomalies dans les communications DNP3 des systèmes SCADA/ICS en surveillant les commandes de contrôle non autorisées, les tentatives de mise à jour firmware, les violations de protocole et les écarts au trafic de baseline. Il guide l'agent dans la construction d'un détecteur d'anomalies DNP3 par inspection profonde de paquets et approches ML — analyser le trafic DNP3 sur TCP port 20000 ou liaisons série, mapper les masters aux outstations, suivre les intervalles de polling et les function codes, et signaler l'activité master/outstation suspecte — pour des cas comme sécuriser les réseaux du secteur énergie, enquêter sur des commandes de contrôle non autorisées suspectes vers des RTU et sous-stations, ou déployer un IDS à base d'anomalies avec parsing DNP3 dans les sous-stations électriques. Mappé aux frameworks MITRE ATT&CK, MITRE ATLAS et NIST. Bémols honnêtes : un skill SPÉCIALISÉ — il suppose un TAP/SPAN réseau sur les segments DNP3, une baseline du trafic DNP3 normal et une sonde DNP3-aware (Suricata ou Zeek avec parser DNP3) ; il sépare explicitement la configuration DNP3 Secure Authentication dans une tâche différente ; l'inspection profonde sur réseaux OT ne doit jamais perturber le trafic en direct — capture passive uniquement. Licence Apache-2.0. Skill Harbor ne vérifie jamais le code, examinez-le vous-même avant usage. Découvert via skills.sh.
Version :
Installation
Prérequis : TAP/SPAN réseau sur les segments de communication DNP3 (TCP port 20000 ou série) ; une baseline du trafic DNP3 normal (masters, outstations, intervalles de polling, function codes) ; Suricata ou Zeek avec parser protocole DNP3 activé ; une carte de topologie de communication DNP3 Installe-moi « Détection d'anomalies protocole DNP3 — IDS pour le trafic SCADA/ICS du secteur énergie ». Il donne à mon agent le workflow défensif de détection d'anomalies DNP3 de @mukul975 : analyser le trafic DNP3 par inspection profonde de paquets et approches ML, mapper les relations master-outstation, surveiller les commandes de contrôle non autorisées, les tentatives de mise à jour firmware et les violations de protocole, et signaler les écarts aux baselines établies — mappé aux frameworks MITRE ATT&CK, ATLAS et NIST. Licence Apache-2.0. IMPORTANT : capture passive uniquement — ne jamais perturber le trafic OT en direct. Dépôt : https://github.com/mukul975/anthropic-cybersecurity-skills/blob/main/skills/detecting-dnp3-protocol-anomalies/SKILL.md 1. Récupère le fichier SKILL.md (et les fichiers d'aide éventuels) depuis le chemin du dépôt dans un dossier temporaire et résume en une ou deux phrases ce qu'il fait. 2. Vérification de sécurité : examine le SKILL.md et les scripts pour tout contenu suspect (appels réseau inattendus, commandes shell, collecte d'identifiants). Ce dépôt ne devrait contenir aucun secret en dur. Vérifie que c'est bien le cas ici ; STOP sur tout signal d'alerte et dis-le-moi. 3. Installe-le comme skill : copie le SKILL.md et ses fichiers d'aide dans le répertoire des skills de l'agent, dans un dossier nommé « detecting-dnp3-protocol-anomalies ». 4. Vérifie sans appels réseau : frontmatter valide, fichiers en place. 5. Indique ce qui a été installé, où, et ce qu'il me reste à faire moi-même (p. ex. confirmer la couverture TAP/SPAN des segments DNP3 ; capturer une baseline de trafic normal ; activer le parser DNP3 dans Suricata/Zeek ; mapper ma topologie master-outstation). GitHub est optionnel : si j'ai un compte GitHub ou la CLI gh, tu peux l'utiliser ; sinon l'accès public suffit. Ne jamais l'exiger sauf s'il figure dans les prérequis ci-dessus. Règles : ne touche à rien en dehors du dossier temporaire et de la cible d'installation. Si quelque chose semble anormal, arrête-toi et demande-moi.
Questions
Comment installer une création ?
Chaque fiche produit contient un prompt d’installation à copier-coller. Collez-le dans votre Muse et il installe la création pour vous — sans configuration manuelle.
Où va mon argent ?
Directement au vendeur. Skill Harbor ne traite jamais les paiements : le paiement se fait sur la page du vendeur, généralement via Stripe.
Que signifie le ✓ à côté du nom d’un créateur ?
Il signifie que nous avons confirmé l’identité de la personne derrière la fiche. Il ne dit rien sur le code lui-même — vérifiez toujours une création avant de l’installer.