Условия и источник
Зафиксируйте сенсор Zeek, его версию, точку пассивного наблюдения и формат вывода. Подтверждённая форма полей прочитана в master; стабильный релиз может отличаться. Наличие 502/TCP не доказывает правильный разбор Modbus. Исследование ведётся по уже полученной копии без запросов к PLC и без активного сканирования технологического сегмента.
Как отобрать запись
В modbus JSONL отберите uid нужного соединения, затем tid/unit и доступное направление PDU. Сохраните ts и участников с учётом сенсора. Не требуйте от всех строк необязательных tid,unit,pdu_type,exception: сначала сверяйте версию и конкретный эпизод. Чтобы увидеть обмен целиком, сопоставьте доступные строки запроса и ответа, не смешивая соседние транзакции.
Разбор примера
Пример REQ с READ_HOLDING_REGISTERS иллюстрирует запрос чтения, а не изменение регистров. uid связывает соединение, tid — транзакцию при наличии, unit — адресуемую единицу. Значения полей и IP-адреса в примере условные. exception описывает ответ-ошибку, когда он наблюдался. Отсутствующий ответ не следует заменять успехом на основании корректно распознанного запроса.
Интерпретация и границы
Пассивный журнал подтверждает наблюдённые данные на участке сети, а не человека, управлявшего процессом, или физический результат. Для оценки допустимости нужны роль актива, разрешённая инженерная операция и технологический контекст. Один uid не следует приравнивать к идентификаторам других продуктов. Временной порядок и видимость направлений проверяются отдельно, особенно если зеркалирование неполно.
Следующая проверка
Свяжите uid с conn.log и инвентаризацией; затем запросите доступные журналы инженерной станции, SCADA или изменений программы у владельца процесса. Для вывода об изменении установки нужны соответствующие свидетельства, которых чтение регистров не даёт. Сохраните отдельно подтверждённый сетевой запрос, ответ и оставшуюся гипотезу. Не воспроизводите технологическую команду ради проверки журнальной формы.
Если записи нет
Проверьте видимость сегмента, capture-потери, загрузку анализатора, транспорт, включение журнала, фильтры и retention. Если conn.log есть, а Modbus-записей нет, исследуйте распознавание и конфигурацию вместо вывода об отсутствии трафика. Пустая выборка по uid может относиться к другому сенсору или периоду. Недоступный источник в OT фиксируется как пробел наблюдаемости, а не разрешение на активное исследование устройства.