用途：分析安全日志并检测异常，适用于怀疑 Web 服务器被入侵、排查 SSH 暴力破解、事件响应中重建攻击时间线，以及日常安全监控自动化。
主要能力：对 Web 访问日志提取 Top IP、请求路径、HTTP 状态码分布与 User-Agent；检测同一 IP 出现 10 次以上 401 的暴力破解模式，以及 20 次以上 404 的路径枚举扫描行为；对 auth/secure 日志提取失败登录 IP、被尝试账户与成功登录；对 syslog 提取 error/warning/critical 等模式及按进程统计错误频率；最后输出按小时的事件时间线报告，并对可疑 IP 给出示例封禁命令。
使用方式：需 grep、awk、sort、uniq（多数 Linux 默认提供）与 python3，并具备目标日志读取权限。输入参数为 LOG_FILE（日志路径）、LOG_TYPE（access/auth/syslog，可 auto 自动识别）、TOP_N（默认 20）。可通过环境变量 SECSKILL_LOG_FILE、SECSKILL_LOG_TYPE、SECSKILL_TOP_N 或位置参数传入。
限制：分析结果仅供参考，封禁前须确认可疑 IP 非正常流量；基于 Nginx/Apache Combined Log Format，自定义格式需调整 awk 字段；日志超过 1GB 时较慢，可用 tail -n 100000 截取近期条目；轮转日志可用 zcat *.gz 串联处理；无读取权限需 sudo；缺少 python3 时需安装。