mcpField
A
analyzing-api-gateway-access-logs

analyzing-api-gateway-access-logs

github.com/mukul975安全35.2k767 次安装8 周前更新
代码仓库

关于 analyzing-api-gateway-access-logs

面向 SOC 分析师和安全团队的 API 网关访问日志分析技能，提供基于 Python 的流程，用于识别 BOLA、注入尝试和凭据扫描等模式。

主要功能

  1. 01BOLA 和 IDOR 检测模式
  2. 02凭据扫描迹象识别
  3. 03注入与速率限制检查
  4. 04Python 日志分析示例

适用场景

  1. 01调查 API 网关安全事件
  2. 02编写威胁狩猎查询
  3. 03检查 API 攻击监控覆盖情况

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-api-gateway-access-logs

安装后在 Claude Code 中输入/analyzing-api-gateway-access-logs确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

分析 API 网关访问日志

使用时机

  • 在调查需要分析 API 网关访问日志的安全事件时
  • 在为该领域构建检测规则或威胁狩猎查询时
  • 在 SOC 分析师需要针对此类分析的结构化流程时
  • 在验证相关攻击技术的安全监控覆盖范围时

前提条件

  • 熟悉安全运营概念和工具
  • 可访问测试或实验环境以安全执行
  • Python 3.8+ 并安装所需依赖
  • 对任何测试活动具备适当授权

操作说明

解析 API 网关访问日志，以识别攻击模式，包括对象级授权失效（BOLA）、数据过度暴露和注入尝试。

import pandas as pd

df = pd.read_json("api_gateway_logs.json", lines=True)
# Detect BOLA: same user accessing many different resource IDs
bola = df.groupby(["user_id", "endpoint"]).agg(
    unique_ids=("resource_id", "nunique")).reset_index()
suspicious = bola[bola["unique_ids"] > 50]

关键检测模式：

  1. BOLA/IDOR：顺序资源 ID 枚举
  2. 通过操纵请求头绕过速率限制
  3. 凭据扫描（单一来源出现 401 激增）
  4. 查询参数中的 SQL/NoSQL 注入
  5. 对只读端点使用异常 HTTP 方法（DELETE、PATCH）

示例

# Detect 401 surges indicating credential scanning
auth_failures = df[df["status_code"] == 401]
scanner_ips = auth_failures.groupby("source_ip").size()
scanners = scanner_ips[scanner_ips > 100]

评论

支持 Markdown