mcpField
D
detecting-shadow-it-cloud-usage

detecting-shadow-it-cloud-usage

github.com/mukul975安全35.2k58 次安装8 周前更新
代码仓库

关于 detecting-shadow-it-cloud-usage

面向 SOC 分析师的安全技能，用于从代理、DNS 和网络日志中发现未经授权的 SaaS 与云服务。它会分类服务、统计流量与风险，并生成发现报告。

主要功能

  1. 01解析代理和 DNS 日志
  2. 02按域名汇总流量
  3. 03分类云服务
  4. 04标记未批准的服务
  5. 05评估风险并生成报告

适用场景

  1. 01调查未经授权的云服务使用
  2. 02构建威胁狩猎查询
  3. 03检查安全监控覆盖情况

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill detecting-shadow-it-cloud-usage

安装后在 Claude Code 中输入/detecting-shadow-it-cloud-usage确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

检测影子 IT 云使用

概述

影子 IT 是指未经 IT 批准而使用的未授权 SaaS 应用和云服务。此技能分析代理日志、DNS 查询日志以及防火墙/netflow 数据，以识别未授权的云服务使用情况，将发现的域对照已知 SaaS 类别进行分类，衡量数据传输量，并基于安全态势和合规要求标记高风险服务。

何时使用

  • 当调查需要检测影子 IT 云使用情况的安全事件时
  • 当为此领域构建检测规则或威胁狩猎查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 当验证相关攻击技术的安全监控覆盖范围时

前提条件

  • Python 3.9+ 及 pandas、tldextract
  • 代理日志（Squid、Zscaler 或 Palo Alto 格式）或 DNS 查询日志
  • 用于分类的 SaaS 应用目录/阻止列表
  • 带 FQDN 解析的网络防火墙日志（可选）

步骤

  1. 解析代理访问日志并提取带有流量数据的目标域
  2. 解析 DNS 查询日志以识别已解析的云服务域
  3. 使用 pandas 按域聚合流量 — 总字节数、请求次数、独立用户数
  4. 将域对照已知 SaaS 类别进行分类（存储、电子邮件、开发工具、AI）
  5. 标记不在批准应用列表上的未授权服务
  6. 根据数据量、用户数和服务类别计算风险评分
  7. 生成影子 IT 发现报告及修复建议

预期输出

  • JSON 报告，列出发现的云服务及其流量数据、用户数、风险评分和批准状态
  • 按数据外泄风险排序的未授权服务 Top 榜

评论

支持 Markdown