API 网关访问日志安全分析实战基于 Anthropic-Cybersecurity-Skills 的 BOLA、爆破与注入检测参考指南【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills导读本文以 Anthropic-Cybersecurity-Skills 仓库中 analyzing-api-gateway-access-logs 技能的 API Reference 为核心骨架系统讲解如何解析 AWS API Gateway、Kong、Nginx 等网关的访问日志利用 pandas 完成 BOLA/IDOR 攻击、认证失败爆破credential scanning、限速绕过rate limit bypass与注入尝试的统计检测。读完本文你将掌握一套可落地的日志字段模型、OWASP API Top 10 检测模式对照表、注入正则库以及仓库内置的完整检测 Agent 的用法与底层实现原理。适用场景与前置条件该技能定位为安全运营security operations域的 API 安全分析流程适用于以下场景依据 SKILL.md调查涉及 API 网关访问日志的安全事件为 BOLA、IDOR、注入等 API 攻击手法构建检测规则或威胁狩猎查询SOC 分析师需要标准化的日志分析方法论验证针对相关攻击技术的安全监控覆盖度。运行前提包括具备安全运营概念与工具基础、有可安全执行的测试/实验环境、Python 3.8 且已安装 pandas 等依赖、以及对一切测试活动拥有适当授权。技能遵循 Apache-2.0 许可见 LICENSE适用于 Claude Code、Copilot、Codex CLI 等 Agent 平台。AWS API Gateway 日志字段参考API 网关访问日志通常以 JSON Lines 形式逐行输出。参考文档给出了 AWS API Gateway 场景下的核心字段模型见 api-reference.md{ requestId: abc-123, ip: 203.0.113.50, httpMethod: GET, resourcePath: /api/users/{id}, status: 200, requestTime: 2025-03-15T14:00:00Z, responseLength: 1024 }各字段含义如下字段含义在检测中的作用requestId单次请求的唯一标识关联同一请求的完整生命周期去重与追踪ip客户端源 IP认证失败聚合、限速检测、注入溯源的主键httpMethodHTTP 方法GET/POST/PUT/DELETE 等检测只读端点上的异常写方法BFLAresourcePath资源路径模板结合真实资源 ID 判断对象级授权越界statusHTTP 响应状态码401/403 聚合识别凭据扫描requestTime请求时间ISO 8601按分钟重采样计算请求速率responseLength响应体长度判断过度数据暴露Excessive Data Exposure需要特别说明的是不同网关的字段命名并不统一AWS 使用ip/httpMethod/status而仓库中的检测脚本同时兼容source_ip/client_ip、method/http_method、request_path/path等多种命名约定详见下文 agent.py 实现。将日志导入分析框架前建议先做一层字段归一化。基于 pandas 的日志统计分析方法参考文档给出了三类最基础的 pandas 分析范式可直接复制运行import pandas as pd df pd.read_json(access_logs.json, linesTrue) # BOLA detection df.groupby(user_id)[resource_id].nunique() # Auth failure surge df[df[status_code] 401].groupby(source_ip).size() # Request velocity df.set_index(timestamp).resample(1min).size()这三个模式分别对应三种攻击行为BOLA 检测按用户聚合其访问过的去重资源 ID 数量同一用户短时间内枚举大量不同资源 ID是对象级授权缺陷IDOR的典型特征认证失败突增统计单一源 IP 产生的 401 响应数量100 次的集中失败通常是口令喷洒或凭据扫描请求速率以 1 分钟为窗口重采样请求数评估单 IP 的请求速率用于发现限速绕过与爬虫式调用。OWASP API Top 10 检测模式对照表参考文档将上述统计手法与 OWASP API Security Top 10 风险类别一一对应形成可直接落地的检测规则基线RiskDetection PatternBOLA (API1)User accessing 50 unique resource IDsBroken Auth (API2) 100 401/403 from single IPExcessive Data (API3)Response size 10x averageRate Limit (API4) 100 req/min from single IPBFLA (API5)DELETE/PUT on read-only endpointsInjection (API8)SQL/NoSQL patterns in params这六条阈值50 个去重资源 ID、100 次认证失败、10 倍平均响应体、100 请求/分钟、只读端点上的写方法、参数中的注入特征可作为 SIEM 关联规则或 Agent 分析的初始基线。实际部署时建议结合业务流量画像调参降低误报。注入检测正则库针对 API8注入风险参考文档提供了一组经过整理的注入正则模式覆盖 SQL、NoSQL、XSS 与路径穿越四类载荷sql runion\sselect|drop\stable|\s*or\s1 nosql r\$ne|\$gt|\$regex|\$where xss rscript|javascript:|onerror path_traversal r\.\./\.\./|/etc/passwdSQL 注入匹配union select、drop table、 or 1等经典载荷结构NoSQL 注入匹配 MongoDB 等文档数据库的操作符$ne、$gt、$regex、$where——这些操作符常被用于绕过等于判断实现未授权查询XSS匹配script、javascript:协议及事件处理器属性路径穿越匹配../目录回溯与/etc/passwd、/proc/self等敏感文件访问。仓库 Agent 的完整检测管线与调用方式上述参考文档中的模式在仓库中已固化为一个可执行的命令行工具 scripts/agent.py。它把每个检测维度封装为独立函数底层实现与参考文档一一对应detect_bola_attacks(df, threshold50)默认阈值 50与 OWASP API1 的检测模式一致。若日志中缺少resource_id列会从request_path/path中以正则/(\d)(?:/|$|\?)提取路径中的数字 ID按user_id缺失时回退source_ip聚合去重资源数输出CRITICAL级别的 BOLA/IDOR 发现detect_auth_scanning(df, threshold100)默认阈值 100统计 401/403 响应在单一源 IP 上的集中度并附带探测过的去重端点数量标记为HIGH级别的凭据扫描detect_injection_attempts(df)实现了参考文档正则库的完整扩充版新增insert into、11布尔盲注、onload等变体同时在query_string与request_body两处字段上匹配默认仅输出前 500 条命中detect_rate_limit_bypass(df, window1min, threshold100)以 1 分钟窗口对每个源 IP 重采样阈值 100 请求/分钟按峰值倒序输出最多 50 条标记为MEDIUMdetect_unusual_methods(df)对DELETE/PUT/PATCH方法与只读路径组合进行标记对应 OWASP API5BFLA。调用方式Agent 或人工均可直接运行# 全量分析默认动作输出 JSON 报告 python3 scripts/agent.py --log-file access_logs.json # 仅执行单一检测维度 python3 scripts/agent.py --log-file access_logs.json --action bola python3 scripts/agent.py --log-file access_logs.json --action auth_scan python3 scripts/agent.py --log-file access_logs.json --action injection python3 scripts/agent.py --log-file access_logs.json --action rate_limit # 自定义输出路径 python3 scripts/agent.py --log-file access_logs.json --output report.json--action可选bola、auth_scan、injection、rate_limit、full_analysis默认。日志文件支持 JSON Linespd.read_json(..., linesTrue)或 CSVpd.read_csv(..., parse_dates[timestamp])两种格式由load_api_logs()根据扩展名自动选择解析方式。报告结构为{generated_at, total_requests, findings}其中findings按检测维度分组便于后续对接 SIEM 或威胁情报平台。框架映射与检测覆盖该技能在元数据中声明了多框架映射可直接作为 SOC 覆盖度评估的依据NIST CSF 2.0DE.CM-01持续监控、RS.MA-01监控响应、GV.OV-01资产清单与治理、DE.AE-02异常事件分析可对照 mappings/nist-csf/README.md 中 Continuous MonitoringDE.CM在 soc-operations、threat-hunting 等子域下的覆盖说明MITRE ATTCKT1190利用面向公众的应用、T1110.004口令喷洒、T1078.004云账户有效凭据、T1119自动化收集与 mappings/mitre-attack/coverage-summary.md 中 T1190 归入 web/api 安全技能群的口径一致。换句话说本技能既可用于事件调查取证响应阶段也可用于将网关日志的检测能力映射到 ATTCK 与 NIST CSF帮助团队发现监控空白并沉淀为长期检测规则——这正是参考文档中每个检测模式都可直接翻译成 SIEM 查询语句的价值所在。【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
API 网关访问日志安全分析实战：基于 Anthropic-Cybersecurity-Skills 的 BOLA、爆破与注入检测参考指南
API 网关访问日志安全分析实战基于 Anthropic-Cybersecurity-Skills 的 BOLA、爆破与注入检测参考指南【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills导读本文以 Anthropic-Cybersecurity-Skills 仓库中 analyzing-api-gateway-access-logs 技能的 API Reference 为核心骨架系统讲解如何解析 AWS API Gateway、Kong、Nginx 等网关的访问日志利用 pandas 完成 BOLA/IDOR 攻击、认证失败爆破credential scanning、限速绕过rate limit bypass与注入尝试的统计检测。读完本文你将掌握一套可落地的日志字段模型、OWASP API Top 10 检测模式对照表、注入正则库以及仓库内置的完整检测 Agent 的用法与底层实现原理。适用场景与前置条件该技能定位为安全运营security operations域的 API 安全分析流程适用于以下场景依据 SKILL.md调查涉及 API 网关访问日志的安全事件为 BOLA、IDOR、注入等 API 攻击手法构建检测规则或威胁狩猎查询SOC 分析师需要标准化的日志分析方法论验证针对相关攻击技术的安全监控覆盖度。运行前提包括具备安全运营概念与工具基础、有可安全执行的测试/实验环境、Python 3.8 且已安装 pandas 等依赖、以及对一切测试活动拥有适当授权。技能遵循 Apache-2.0 许可见 LICENSE适用于 Claude Code、Copilot、Codex CLI 等 Agent 平台。AWS API Gateway 日志字段参考API 网关访问日志通常以 JSON Lines 形式逐行输出。参考文档给出了 AWS API Gateway 场景下的核心字段模型见 api-reference.md{ requestId: abc-123, ip: 203.0.113.50, httpMethod: GET, resourcePath: /api/users/{id}, status: 200, requestTime: 2025-03-15T14:00:00Z, responseLength: 1024 }各字段含义如下字段含义在检测中的作用requestId单次请求的唯一标识关联同一请求的完整生命周期去重与追踪ip客户端源 IP认证失败聚合、限速检测、注入溯源的主键httpMethodHTTP 方法GET/POST/PUT/DELETE 等检测只读端点上的异常写方法BFLAresourcePath资源路径模板结合真实资源 ID 判断对象级授权越界statusHTTP 响应状态码401/403 聚合识别凭据扫描requestTime请求时间ISO 8601按分钟重采样计算请求速率responseLength响应体长度判断过度数据暴露Excessive Data Exposure需要特别说明的是不同网关的字段命名并不统一AWS 使用ip/httpMethod/status而仓库中的检测脚本同时兼容source_ip/client_ip、method/http_method、request_path/path等多种命名约定详见下文 agent.py 实现。将日志导入分析框架前建议先做一层字段归一化。基于 pandas 的日志统计分析方法参考文档给出了三类最基础的 pandas 分析范式可直接复制运行import pandas as pd df pd.read_json(access_logs.json, linesTrue) # BOLA detection df.groupby(user_id)[resource_id].nunique() # Auth failure surge df[df[status_code] 401].groupby(source_ip).size() # Request velocity df.set_index(timestamp).resample(1min).size()这三个模式分别对应三种攻击行为BOLA 检测按用户聚合其访问过的去重资源 ID 数量同一用户短时间内枚举大量不同资源 ID是对象级授权缺陷IDOR的典型特征认证失败突增统计单一源 IP 产生的 401 响应数量100 次的集中失败通常是口令喷洒或凭据扫描请求速率以 1 分钟为窗口重采样请求数评估单 IP 的请求速率用于发现限速绕过与爬虫式调用。OWASP API Top 10 检测模式对照表参考文档将上述统计手法与 OWASP API Security Top 10 风险类别一一对应形成可直接落地的检测规则基线RiskDetection PatternBOLA (API1)User accessing 50 unique resource IDsBroken Auth (API2) 100 401/403 from single IPExcessive Data (API3)Response size 10x averageRate Limit (API4) 100 req/min from single IPBFLA (API5)DELETE/PUT on read-only endpointsInjection (API8)SQL/NoSQL patterns in params这六条阈值50 个去重资源 ID、100 次认证失败、10 倍平均响应体、100 请求/分钟、只读端点上的写方法、参数中的注入特征可作为 SIEM 关联规则或 Agent 分析的初始基线。实际部署时建议结合业务流量画像调参降低误报。注入检测正则库针对 API8注入风险参考文档提供了一组经过整理的注入正则模式覆盖 SQL、NoSQL、XSS 与路径穿越四类载荷sql runion\sselect|drop\stable|\s*or\s1 nosql r\$ne|\$gt|\$regex|\$where xss rscript|javascript:|onerror path_traversal r\.\./\.\./|/etc/passwdSQL 注入匹配union select、drop table、 or 1等经典载荷结构NoSQL 注入匹配 MongoDB 等文档数据库的操作符$ne、$gt、$regex、$where——这些操作符常被用于绕过等于判断实现未授权查询XSS匹配script、javascript:协议及事件处理器属性路径穿越匹配../目录回溯与/etc/passwd、/proc/self等敏感文件访问。仓库 Agent 的完整检测管线与调用方式上述参考文档中的模式在仓库中已固化为一个可执行的命令行工具 scripts/agent.py。它把每个检测维度封装为独立函数底层实现与参考文档一一对应detect_bola_attacks(df, threshold50)默认阈值 50与 OWASP API1 的检测模式一致。若日志中缺少resource_id列会从request_path/path中以正则/(\d)(?:/|$|\?)提取路径中的数字 ID按user_id缺失时回退source_ip聚合去重资源数输出CRITICAL级别的 BOLA/IDOR 发现detect_auth_scanning(df, threshold100)默认阈值 100统计 401/403 响应在单一源 IP 上的集中度并附带探测过的去重端点数量标记为HIGH级别的凭据扫描detect_injection_attempts(df)实现了参考文档正则库的完整扩充版新增insert into、11布尔盲注、onload等变体同时在query_string与request_body两处字段上匹配默认仅输出前 500 条命中detect_rate_limit_bypass(df, window1min, threshold100)以 1 分钟窗口对每个源 IP 重采样阈值 100 请求/分钟按峰值倒序输出最多 50 条标记为MEDIUMdetect_unusual_methods(df)对DELETE/PUT/PATCH方法与只读路径组合进行标记对应 OWASP API5BFLA。调用方式Agent 或人工均可直接运行# 全量分析默认动作输出 JSON 报告 python3 scripts/agent.py --log-file access_logs.json # 仅执行单一检测维度 python3 scripts/agent.py --log-file access_logs.json --action bola python3 scripts/agent.py --log-file access_logs.json --action auth_scan python3 scripts/agent.py --log-file access_logs.json --action injection python3 scripts/agent.py --log-file access_logs.json --action rate_limit # 自定义输出路径 python3 scripts/agent.py --log-file access_logs.json --output report.json--action可选bola、auth_scan、injection、rate_limit、full_analysis默认。日志文件支持 JSON Linespd.read_json(..., linesTrue)或 CSVpd.read_csv(..., parse_dates[timestamp])两种格式由load_api_logs()根据扩展名自动选择解析方式。报告结构为{generated_at, total_requests, findings}其中findings按检测维度分组便于后续对接 SIEM 或威胁情报平台。框架映射与检测覆盖该技能在元数据中声明了多框架映射可直接作为 SOC 覆盖度评估的依据NIST CSF 2.0DE.CM-01持续监控、RS.MA-01监控响应、GV.OV-01资产清单与治理、DE.AE-02异常事件分析可对照 mappings/nist-csf/README.md 中 Continuous MonitoringDE.CM在 soc-operations、threat-hunting 等子域下的覆盖说明MITRE ATTCKT1190利用面向公众的应用、T1110.004口令喷洒、T1078.004云账户有效凭据、T1119自动化收集与 mappings/mitre-attack/coverage-summary.md 中 T1190 归入 web/api 安全技能群的口径一致。换句话说本技能既可用于事件调查取证响应阶段也可用于将网关日志的检测能力映射到 ATTCK 与 NIST CSF帮助团队发现监控空白并沉淀为长期检测规则——这正是参考文档中每个检测模式都可直接翻译成 SIEM 查询语句的价值所在。【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
