用途：检测未经授权的 SaaS 与云服务使用（影子 IT）。该技能分析代理日志、DNS 查询日志以及防火墙/NetFlow 数据，识别未获批的云服务，对发现的域名归类到已知 SaaS 类别，统计数据传输量，并依据安全态势与合规要求标记高风险服务。
适用场景：调查需要检测影子 IT 云使用的安全事件；为该领域构建检测规则或威胁狩猎查询；SOC 分析师需要结构化的分析流程；验证相关攻击技术的安全监控覆盖。
前置条件：Python 3.9+ 及 pandas、tldextract；代理日志（Squid、Zscaler 或 Palo Alto 格式）或 DNS 查询日志；用于分类的 SaaS 应用目录/黑名单；带 FQDN 解析的防火墙日志（可选）。
主要步骤：解析代理访问日志并提取目标域名与流量；解析 DNS 查询日志识别已解析的云服务域名；用 pandas 按域名聚合总字节数、请求数与唯一用户数；将域名归类到已知 SaaS 类别（存储、邮件、开发工具、AI）；标记不在批准应用清单上的未授权服务；依据数据量、用户数与服务类别计算风险评分；生成影子 IT 发现报告及修复建议。
预期输出：JSON 报告，列出发现的云服务及其流量、用户数、风险评分与审批状态；按数据外泄风险排名的未授权服务列表。
限制：具体安装命令、代码示例、SaaS 目录细节与运行参数在提供的资料中暂未给出；实际使用需自备日志数据与分类所需的应用目录/黑名单。