用途：该技能面向安全事件调查场景，用于狩猎撞库（credential stuffing）攻击。适用于构建该领域的检测规则或威胁狩猎查询、SOC 分析师需要结构化分析流程，以及验证相关攻击技术的监控覆盖情况。
主要能力：分析认证日志，识别分布式登录失败、高 IP 多样性、可疑 ASN 分布等模式。关键检测指标包括：每个失败用户名对应大量唯一源 IP、跨大量账户的低成功率（低于 1%）、来自云或代理服务商的 ASN 集中、同一账户出现地理位置不可能（相距遥远）的登录、分布式 IP 间一致的 User-Agent。
使用方式：需具备安全运营概念与工具基础，可访问测试或实验环境，Python 3.8+ 及所需依赖，并拥有测试活动的适当授权。示例中通过 pandas 读取 auth_logs.csv 并按时间戳解析，对失败记录按用户名统计唯一源 IP，超过 50 个即视为受攻击账户；密码喷洒检测则按源 IP 与密码哈希分组统计唯一账户数，超过 10 个即判定为喷洒。
适用场景：安全事件调查、检测规则编写、威胁狩猎查询构建、SOC 分析流程、监控覆盖验证。
限制：需在授权环境下执行；具体依赖清单、完整检测阈值调优方法及生产部署细节暂未提供。