القائمة
日志取证与威胁关联 — 从 auth/syslog/web 日志中提取攻击 IP、失败登录、异常行为
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
استنادا إلى تصنيف SOC المهني
跨 ClawHub 和 skills.sh 发现、比较、检查、审查并按用户明确授权安装 Agent Skill。用户询问“有没有某种技能”“找一个 Skill”“从市场安装/复刻 Skill”或希望扩展能力时使用；搜索不等于安装授权。
AWD-plus 综合运营工作流 — 多服务态势、低风险自动化检查、证据链汇总和处置队列
AWD 防守工作流 — 服务可用性、Webshell 排查、日志审计、flag 线索扫描与修复建议
CTF 解题工作流 — Web/文件/日志/流量线索分析、flag_scan、headless_browser 与证据化输出
文件取证 — 魔数识别、strings 提取、gzip 日志解压，全部 Go 原生无需 file/strings/zcat
网络排查 — 指导 AI 使用 Go 原生内置工具 (BusyBox 模式)，无需目标系统 nmap/ss/tcpdump
| name | log-analysis |
| description | 日志取证与威胁关联 — 从 auth/syslog/web 日志中提取攻击 IP、失败登录、异常行为 |
| license | Apache-2.0 |
确认日志路径
/var/log/auth.log, /var/log/secure, /var/log/nginx/access.logC:\Windows\System32\LogFiles\提取关键事件
# SSH 失败登录 Top 10
grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head -10
# 最近 24 小时失败登录
grep "$(date +%b\ %d)" /var/log/auth.log | grep -i "failed\|invalid"
时间线重建
威胁关联
curl ipinfo.io/<IP>## 日志分析结论
- 分析范围: [日志文件 + 时间范围]
- 攻击 IP Top N: [IP | 次数 | 归属地]
- 关键事件时间线: [时间 | 事件 | IP]
- 风险等级: [高/中/低]
- 建议措施: [封禁/监控/加固]