mcpField
T
threat-detection

threat-detection

github.com/borghei安全1.0k62 次安装6 天前更新
代码仓库

关于 threat-detection

面向安全运营团队的日志威胁检测技能，可分析认证、访问和应用日志中的可疑模式。它覆盖暴力破解、注入、访问异常、权限提升及请求洪泛，并可输出 JSON 供 SIEM 集成。

主要功能

  1. 01检测重复登录失败
  2. 02扫描 SQL、XSS 和命令注入
  3. 03标记异常访问与管理入口探测
  4. 04识别权限变更和提升迹象
  5. 05分析请求洪泛并标记 IP 模式
  6. 06按严重级别筛选并输出 JSON

适用场景

  1. 01排查认证日志中的暴力破解
  2. 02调查应用请求中的注入尝试
  3. 03在部署或定期任务中扫描日志

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/borghei/claude-skills --skill threat-detection

安装后在 Claude Code 中输入/threat-detection确认已加载。

附带文件references/threat-indicators.mdscripts/threat_signal_analyzer.py

详细介绍

威胁检测

类别： 工程 领域： 安全运营

概述

威胁检测技能可自动分析日志文件，检测暴力破解攻击、注入尝试、异常访问模式和权限提升迹象等可疑模式。它可帮助安全团队对日志数据进行分类处置，并在威胁升级前发现威胁。

先行确认

分析日志前，请确认以下输入。如果有任何信息未知或含糊不清，请提问，不要自行假设：

  • 日志文件和来源类型 — 要分析的身份验证／访问／应用程序日志（--file；检测对象）
  • 威胁类别 — 暴力破解／注入／访问异常／权限提升（--category；用于指定扫描重点）
  • 最低严重性 — 报告／警报阈值（--min-severity；会影响显示哪些信号以及 SIEM／CI 门禁）

停止规则：只询问最可能影响输出的 2-3 项。如果用户说“直接起草”，则继续，并在产出内容开头列出你的假设。

快速开始

# Analyze a log file for threat signals
python scripts/threat_signal_analyzer.py --file /var/log/auth.log

# Analyze with specific threat category
python scripts/threat_signal_analyzer.py --file access.log --category injection

# JSON output for SIEM integration
python scripts/threat_signal_analyzer.py --file auth.log --format json

# Set minimum severity
python scripts/threat_signal_analyzer.py --file access.log --min-severity high

工具概览

threat_signal_analyzer.py

分析日志文件，检测多个威胁类别中的可疑活动模式。

功能描述
暴力破解检测识别来自同一来源的重复登录失败尝试
注入扫描检测请求中的 SQL 注入、XSS 和命令注入
访问异常标记异常访问时间、禁止访问的路径和管理后台探测
权限提升检测滥用 sudo、角色变更和权限修改
速率分析识别请求洪泛和拒绝服务模式
IP 信誉标记已知恶意模式（扫描器、机器人、TOR 指示信号）

工作流

日志分析工作流
  1. 收集 - 收集身份验证、访问和应用程序来源的日志
  2. 分析 - 使用 threat_signal_analyzer.py 分析日志文件
  3. 分类处置 - 优先查看严重和高严重性发现
  4. 关联 - 交叉比对不同日志来源中的发现
  5. 响应 - 根据需要封锁 IP、重置凭据并升级处理
事件调查工作流
  1. 确定范围 - 确定时间范围和受影响的系统
  2. 扫描 - 使用分析器扫描所有相关日志文件
  3. 时间线 - 根据威胁信号构建时间线
  4. 影响 - 评估哪些内容被访问或修改
  5. 遏制 - 封锁威胁行为者并修补漏洞
持续监控
# Cron job: analyze auth logs every hour
python scripts/threat_signal_analyzer.py --file /var/log/auth.log --format json --min-severity high > /tmp/threat_report.json

# CI/CD: scan application logs on deployment
python scripts/threat_signal_analyzer.py --file app.log --category injection --format json

参考文档

常见模式快速参考

威胁类别
类别信号严重性
暴力破解5 分钟内来自同一 IP 的登录失败次数达到 5 次或以上高
SQL 注入请求中出现 UNION SELECT、OR 1=1、DROP TABLE严重
XSS输入中出现 script 标签、javascript: URI、事件处理程序高
路径遍历出现 ../ 序列、尝试访问 /etc/passwd高
命令注入使用 ; cat /etc/passwd、nc、反引号
管理后台探测尝试访问 /admin、/wp-admin、/phpmyadmin中
速率洪泛单个 IP 每分钟发送 100 个或更多请求高
严重性级别
  • 严重 - 正在发起利用尝试（注入、RCE）
  • 高 - 攻击很可能正在进行（暴力破解、权限提升）
  • 中 - 需要调查的可疑活动
  • 低 - 信息性信号，可能是误报
响应措施
严重性立即措施后续跟进
严重封锁 IP，通知 SOC编写事件报告，开展取证
高限制速率，进行监控检查访问情况，评估损失
中记录并监控每周审查
低仅记录每月趋势分析

评论

支持 Markdown