detecting-shadow-it-cloud-usage
通过使用 Python pandas 分析代理日志、DNS 查询日志和网络流数据，进行流量模式分析和域名分类，检测未授权的 SaaS 和云服务使用（影子 IT）。
Best use case
detecting-shadow-it-cloud-usage is best used when you need a repeatable AI agent workflow instead of a one-off prompt.
通过使用 Python pandas 分析代理日志、DNS 查询日志和网络流数据，进行流量模式分析和域名分类，检测未授权的 SaaS 和云服务使用（影子 IT）。
Teams using detecting-shadow-it-cloud-usage should expect a more consistent output, faster repeated execution, less prompt rewriting.
When to use this skill
- You want a reusable workflow that can be run more than once with consistent structure.
When not to use this skill
- You only need a quick one-off answer and do not need a reusable workflow.
- You cannot install or maintain the underlying files, dependencies, or repository context.
Installation
Claude Code / Cursor / Codex
Manual Installation
- Download SKILL.md from GitHub
- Place it in
.claude/skills/detecting-shadow-it-cloud-usage/SKILL.mdinside your project - Restart your AI agent — it will auto-discover the skill
How detecting-shadow-it-cloud-usage Compares
| Feature / Agent | detecting-shadow-it-cloud-usage | Standard Approach |
|---|---|---|
| Platform Support | Not specified | Limited / Varies |
| Context Awareness | High | Baseline |
| Installation Complexity | Unknown | N/A |
Frequently Asked Questions
What does this skill do?
通过使用 Python pandas 分析代理日志、DNS 查询日志和网络流数据，进行流量模式分析和域名分类，检测未授权的 SaaS 和云服务使用（影子 IT）。
Where can I find the source code?
You can find the source code on GitHub using the link provided at the top of the page.
SKILL.md Source
# 检测影子 IT 云使用 ## 概述 影子 IT（Shadow IT）是指员工未经 IT 部门批准而使用的未授权 SaaS 应用程序和云服务。本 skill 通过分析代理日志、DNS 查询日志和防火墙/网络流数据，识别未授权的云服务使用，将发现的域名分类至已知 SaaS 类别，测量数据传输量，并根据安全状况和合规要求标记高风险服务。 ## 前置条件 - Python 3.9+，安装 `pandas`、`tldextract` - 代理日志（Squid、Zscaler 或 Palo Alto 格式）或 DNS 查询日志 - 用于分类的 SaaS 应用目录/黑名单 - 具有 FQDN 解析的网络防火墙日志（可选） ## 工作流程 1. 解析代理访问日志，提取目标域名及流量 2. 解析 DNS 查询日志，识别解析的云服务域名 3. 使用 pandas 按域名聚合流量——总字节数、请求计数、唯一用户数 4. 将域名分类至已知 SaaS 类别（存储、电子邮件、开发工具、AI） 5. 标记不在已批准应用列表中的未授权服务 6. 根据数据量、用户数量和服务类别计算风险评分 7. 生成包含修复建议的影子 IT 发现报告 ## 输出格式 - JSON 报告，列出发现的云服务及其流量、用户数量、风险评分和审批状态 - 按数据泄露风险排名的未授权服务 Top 列表
Related Skills
securing-kubernetes-on-cloud
本技能涵盖通过实施 Pod 安全标准（Pod Security Standards）、网络策略、工作负载身份、RBAC 权限控制、镜像准入控制和运行时安全监控，对 EKS、AKS 和 GKE 上的托管 Kubernetes 集群进行加固。涉及云平台特定安全功能，包括 EKS 的 IRSA、GKE 的工作负载身份（Workload Identity）以及 AKS 的托管身份（Managed Identity）。
performing-cloud-storage-forensic-acquisition
通过收集 API 远程数据和端点设备本地同步客户端制品，对 Google Drive、OneDrive、Dropbox 和 Box 等云存储服务执行取证获取和分析。
performing-cloud-penetration-testing
对 AWS、Azure 和 GCP 云环境执行授权渗透测试，识别 IAM 错误配置、暴露的存储桶、过度宽松的安全组、 无服务器函数漏洞以及从初始访问到账户沦陷的云特定攻击路径。测试人员使用云原生工具及 Pacu、 ScoutSuite 等专用框架枚举并利用云基础设施。适用于云渗透测试、AWS 安全评估、Azure 渗透测试 或云基础设施安全测试等请求场景。
performing-cloud-penetration-testing-with-pacu
使用开源 AWS 利用框架 Pacu 执行已授权的 AWS 渗透测试，枚举 IAM 配置、发现权限提升路径、测试凭据收集，并通过系统化的攻击模拟验证安全控制。
performing-cloud-native-forensics-with-falco
使用 Falco YAML 规则在容器和 Kubernetes 中进行运行时威胁检测，监控系统调用以检测 shell 生成、文件篡改、网络异常和权限提升。通过 Falco gRPC API 管理 Falco 规则并解析 Falco 告警输出。适用于构建容器运行时安全或调查 k8s 集群入侵。
performing-cloud-incident-containment-procedures
在 AWS、Azure 和 GCP 中执行云原生事件遏制，包括隔离受攻陷资源、撤销凭据、保全取证证据，以及应用安全组限制以防止横向移动。
performing-cloud-forensics-with-aws-cloudtrail
使用 CloudTrail 日志对 AWS 环境执行取证调查，重建攻击者活动、识别受损凭据并分析 API 调用模式。
performing-cloud-forensics-investigation
通过收集和分析来自 AWS、Azure 和 GCP 服务的日志、快照和元数据，在云环境中开展取证调查。
performing-cloud-asset-inventory-with-cartography
使用 Cartography 执行全面的云资产清单和关系映射，在 AWS、GCP 和 Azure 中构建包含基础设施资产、IAM 权限和攻击路径的 Neo4j 安全图谱。
managing-cloud-identity-with-okta
本技能涵盖将 Okta 部署为云环境集中身份提供商，配置与 AWS、Azure 和 GCP 的 SSO 集成，使用 Okta FastPass 部署抗钓鱼 MFA，管理用户预配置和取消配置的生命周期自动化，以及基于设备态势和风险信号实施自适应访问策略。
implementing-zero-trust-in-cloud
本技能指导组织按照 NIST SP 800-207 和 Google BeyondCorp 原则在云环境中实施零信任（Zero Trust）架构，涵盖以身份为中心的访问控制、微分段（Micro-Segmentation）、持续验证、设备信任评估，以及部署身份感知代理（Identity-Aware Proxy）以消除 AWS、Azure 和 GCP 环境中的隐式网络信任。
implementing-ddos-mitigation-with-cloudflare
配置 Cloudflare DDoS 防护，包括托管规则集、速率限制、WAF 规则、Bot 管理和源站保护，以缓解容量型、协议型和应用层攻击。