用途：检测 API 枚举攻击，即攻击者用顺序或可预测标识符批量探测接口以越权访问资源，对应 OWASP API1:2023 的失效对象级授权（BOLA/IDOR）。适用于安全事件调查、构建检测规则与威胁狩猎查询、SOC 分析流程，以及验证相关攻击技术的监控覆盖。
主要能力：识别三类攻击模式——顺序 ID 枚举（同一端点递增 ID、200/403/401 混合响应、请求速率异常）、UUID/GUID 枚举（先从列表接口收集 UUID 再访问受限数据）、参数篡改枚举（如篡改 user_id 访问他人订单）。提供 Splunk 查询（按 src_ip、endpoint、user_session 统计唯一 ID 数与每秒请求数，并按唯一 ID 数分级）、Elastic SIEM 阈值规则 JSON，以及一个 Python 检测脚本，可解析常见日志格式、提取数字/UUID/长字母数字 ID、按时间窗口聚合、计算认证失败比例并判定严重级别与攻击类型。
使用方式：需具备启用日志的 API 网关或反向代理（Kong、AWS API Gateway、Apigee）、SIEM 平台（Splunk、Elastic SIEM 或 Microsoft Sentinel）、含请求详情的 API 服务器日志、具备 API 防护的 WAF，并理解 API 授权模型与对象标识符方案。脚本默认读取 /var/log/api/access.log，可通过命令行参数指定日志文件。
限制：检测效果依赖日志完整性与标识符方案理解；阈值需按环境调优，可能产生误报；资料未提供具体部署步骤、性能基准或与其他工具的集成说明。防护侧建议包括服务端强制校验对象归属、使用 UUID 等不可预测标识符、按端点实施速率限制。