用途
log-forensics 是一个用于安全取证调查的日志分析技能，其目标是从多种日志来源中重建事件经过、发现异常行为并识别入侵指标（IOC），适用于安全事件调查、内部威胁分析、系统入侵取证等场景。
主要能力
该技能覆盖以下日志类型与分析能力：
- Windows 事件日志分析：解析 EVTX 文件，按事件 ID 过滤（如 4624 登录成功、4625 登录失败、4688 进程创建），提取用户、域、登录类型、源 IP 等字段，检测暴力破解。
- 安全事件检测：通过 SecurityDetector 检测权限提升、横向移动、账户变更、服务安装、计划任务、日志清除等行为，并生成安全报告。
- Syslog 分析：解析 Unix/Linux syslog 与 rsyslog，按 facility 与 severity 分类，识别认证事件、sudo 使用、cron 执行，检测 SSH 暴力破解。
- Web 服务器日志分析：解析 Apache/Nginx/IIS 访问与错误日志，统计独立访客、状态码分布、User-Agent，检测可疑请求、SQL 注入、路径遍历和 WebShell 访问。
- 日志关联：将多个来源的日志归一化、对齐时间戳，构建统一时间线，按 IP 或用户名关联事件，检测攻击链和时间相关性。
- 认证分析：汇总 Windows、Linux、VPN 等来源的认证事件，分析用户登录模式，检测异常登录、不可能旅行、凭证填充，输出失败登录汇总。
- PowerShell 与命令行分析：解析 PowerShell 事件（4103、4104），解码编码命令，检测恶意模式、下载 cradle、混淆技术，并提取 IOC。
- 防火墙与网络日志分析：解析 pfsense、iptables、windows_firewall、cisco_asa 等格式，分析允许/拒绝流量，检测端口扫描和潜在 C2 指标。
- 云服务日志分析：解析 AWS CloudTrail 等云平台日志，识别 IAM 事件、可疑 API 调用、权限提升与数据外泄迹象。
使用方式
该技能以 Python 模块形式使用，通过 import 引入相关类，并传入日志文件路径进行解析与检测。典型流程如下：
- 解析日志：
parser = EventLogParser("/evidence/Security.evtx")，调用parse_all()获取全部事件。 - 过滤与检测：如
parser.filter_by_event_id([4624, 4625])、parser.detect_brute_force(threshold=10, time_window_minutes=5)。 - 安全检测：
detector = SecurityDetector(parser)，调用detect_privilege_escalation()、detect_lateral_movement()等方法。 - 日志关联：
correlator = LogCorrelator()添加多个来源后，调用normalize_timestamps(timezone="UTC")、create_timeline()、correlate_by_ip("192.168.1.100")、detect_attack_chains()。 - 导出结果：支持
export_csv()、export_timeline()、export_timeline_html()、generate_report()等输出方式。
文档提供了 9 类任务的完整示例代码，涵盖 Windows 事件日志、安全事件检测、Syslog、Web 日志、日志关联、认证分析、PowerShell 分析、防火墙日志和云服务日志。
适用场景
- 安全事件响应与取证调查
- 内部威胁与账户异常行为分析
- 系统入侵后的事件重建与 IOC 提取
- 网络攻击（暴力破解、端口扫描、SQL 注入、WebShell）检测
- 跨来源日志关联与统一时间线构建
限制
具体支持的日志格式细节、运行环境依赖、性能上限以及收费与价格信息暂未提供。