analyzing-linux-audit-logs-for-intrusion
解析和分析 Linux auditd 日志，使用 ausearch 和 Python 检测入侵指标， 包括未授权文件访问、权限提升、系统调用异常和可疑进程执行。
Best use case
analyzing-linux-audit-logs-for-intrusion is best used when you need a repeatable AI agent workflow instead of a one-off prompt.
解析和分析 Linux auditd 日志，使用 ausearch 和 Python 检测入侵指标， 包括未授权文件访问、权限提升、系统调用异常和可疑进程执行。
Teams using analyzing-linux-audit-logs-for-intrusion should expect a more consistent output, faster repeated execution, less prompt rewriting.
When to use this skill
- You want a reusable workflow that can be run more than once with consistent structure.
When not to use this skill
- You only need a quick one-off answer and do not need a reusable workflow.
- You cannot install or maintain the underlying files, dependencies, or repository context.
Installation
Claude Code / Cursor / Codex
Manual Installation
- Download SKILL.md from GitHub
- Place it in
.claude/skills/analyzing-linux-audit-logs-for-intrusion/SKILL.mdinside your project - Restart your AI agent — it will auto-discover the skill
How analyzing-linux-audit-logs-for-intrusion Compares
| Feature / Agent | analyzing-linux-audit-logs-for-intrusion | Standard Approach |
|---|---|---|
| Platform Support | Not specified | Limited / Varies |
| Context Awareness | High | Baseline |
| Installation Complexity | Unknown | N/A |
Frequently Asked Questions
What does this skill do?
解析和分析 Linux auditd 日志，使用 ausearch 和 Python 检测入侵指标， 包括未授权文件访问、权限提升、系统调用异常和可疑进程执行。
Where can I find the source code?
You can find the source code on GitHub using the link provided at the top of the page.
SKILL.md Source
# 分析 Linux 审计日志以检测入侵 解析 auditd 日志，检测文件访问违规、权限提升（privilege escalation）、 可疑系统调用（syscall）以及未授权进程执行。
Related Skills
performing-soc-2-type-ii-audit-preparation
SOC 2 Type II 审计准备涉及在规定审计期间（通常为 6-12 个月）设计、实施并证明与 AICPA 信任服务标准（Trust Services Criteria，TSC）对齐的控制措施的运营有效性
performing-service-account-audit
审计企业基础设施中的服务账户，识别孤立账户、过度特权账户和不合规账户。本技能涵盖在 Active Directory、云平台中发现服务账户，评估权限级别，识别缺失负责人，以及执行生命周期策略。
performing-privilege-escalation-on-linux
Linux 权限提升是指在已控制的系统上从低权限用户账户提升至 root 访问权限。红队通过利用错误配置、存在漏洞的服务、内核漏洞利用和弱权限来实现 root 访问。
performing-physical-intrusion-assessment
通过尾随、门禁卡克隆、锁具绕过和流氓设备部署，执行授权的物理渗透测试，以评估设施安全控制措施的有效性。
performing-linux-log-forensics-investigation
对 Linux 系统日志（包括 syslog、auth.log、systemd journal、kern.log 和应用程序日志）进行取证调查，以重建用户活动、检测未授权访问并在被入侵的 Linux 系统上建立事件时间线。
performing-cryptographic-audit-of-application
密码学审计（Cryptographic Audit）系统性地审查应用程序对密码学原语、协议和密钥管理的使用，以识别弱算法、不安全模式、硬编码密钥、熵不足和协议配置错误等漏洞。本技能涵盖构建自动化密码学审计工具，扫描 Python 和配置文件中的常见密码学弱点。
implementing-network-intrusion-prevention-with-suricata
使用自定义规则、Emerging Threats 规则集和内联流量检测部署和配置 Suricata 作为网络入侵防御系统，实现实时威胁阻断。
hunting-for-lolbins-execution-in-endpoint-logs
通过分析终端进程创建日志，识别合法 Windows 系统二进制文件（LOLBin）被用于恶意目的的可疑执行模式，狩猎攻击者的 LOLBin 滥用行为。
hardening-linux-endpoint-with-cis-benchmark
使用 CIS Benchmark 建议对 Ubuntu、RHEL 和 CentOS 的 Linux 端点进行加固， 以减少攻击面、执行安全基线并满足合规要求。适用于部署新 Linux 服务器、修复审计发现 或为 Linux 基础设施建立安全基线的场景。
extracting-windows-event-logs-artifacts
使用 Chainsaw、Hayabusa 和 EvtxECmd 提取、解析和分析 Windows 事件日志（EVTX），以检测横向移动、持久化和权限提升。
detecting-sql-injection-via-waf-logs
分析 WAF（Web 应用防火墙，ModSecurity/AWS WAF/Cloudflare）日志，检测 SQL 注入（SQL Injection）攻击活动。 解析 ModSecurity 审计日志和 JSON WAF 事件日志，识别 SQLi 模式（UNION SELECT、OR 1=1、SLEEP()、BENCHMARK()）， 追踪攻击源，关联多阶段注入尝试，并生成带 OWASP 分类的事件报告。
detecting-golden-ticket-attacks-in-kerberos-logs
通过分析 Kerberos TGT 异常（包括加密类型不匹配、不可能的票据生命周期、不存在的账户以及域控制器事件日志中的伪造 PAC 签名），检测 Active Directory 中的黄金票据攻击。