元察 yotta-logwatch

元察（yotta-logwatch）

跨智能体的安全日志分析检测技能：零依赖自研解析 auth/secure、Web 访问日志（common/combined）、PowerShell 脚本块日志、Windows 事件日志（Security/System），检测登录爆破 / webshell / 扫描 / 异常登录 / 可疑脚本块 / 可疑进程 / 账户操作 / 日志清空，输出带中文教学说明的时间线与报告。

纯 Python 3.8+ 标准库实现，零外部依赖；Windows + Linux + macOS 通用。只读本地日志，不联网、不主动扫描、不修改任何其内容。

何时使用

• 用户给出登录日志（/var/log/auth.log、secure、journal 等）要排查登录爆破 / 异常登录 / sudo 提权；
• 给出 Web 访问日志（nginx / apache common|combined）要排查扫描 / webshell / 路径遍历 / SQL 注入 / 可疑 UA；
• 给出 PowerShell 脚本块日志要排查编码命令 / 下载执行 / 反射加载 / AMSI 绕过 / 混淆；
• 给出 Windows 事件日志（Security/System，key=value / wevtutil 文本 / XML 导出）要排查登录爆破 / 异常登录 / 账户操作 / 日志清空 / 可疑进程；
• 安全测试、应急响应、红蓝对抗后需要「对本地日志做只读审计」时。

Do NOT trigger：

• 不主动扫描网络 / 主机，只分析已存在的日志文件；
• 不联网拉取情报、不主动连接目标、不修改或删除任何日志内容；
• 不在无授权情况下用于对抗他人系统；仅用于已获授权 / 自有资产 / CTF / 教学环境的安全审计。

快速使用

Windows 用 python，Linux/macOS 用 python3。

# 分析本地 auth 日志
python3 scripts/yotta_logwatch.py scan --path /var/log/auth.log

# 递归扫描目录下所有日志特征文件，输出 Markdown 报告
python3 scripts/yotta_logwatch.py scan --path /var/log/nginx --recursive --report report.md

# 强制指定日志类型为 Web
python3 scripts/yotta_logwatch.py scan --path access.log --type web

# 只显示 medium 及以上严重度
python3 scripts/yotta_logwatch.py scan --path auth.log --min-severity medium

# 调低爆破阈值 / 时间窗
python3 scripts/yotta_logwatch.py scan --path auth.log --max-fail 3 --window 120

# 从标准输入读取（管道）
type auth.log | python scripts/yotta_logwatch.py scan --stdin

# JSON 输出
python3 scripts/yotta_logwatch.py scan --path auth.log --json

退出码：0 = 无命中；1 = 有命中；4 = 用法或读取错误。

工作流程（AI 智能体执行日志审计时）

1. 确认范围：明确要分析的日志文件 / 目录与日志类型；只读本地，不做任何外部动作。
2. 读取：用 scan --path 指向文件或目录；目录默认只取日志特征文件（*.log / *.txt / *.out / *.access / *.err / *.audit 或文件名含 auth/access/secure/powershell/syslog/error/system/event）。
3. 检测：引擎按类型自动嗅探或 --type 指定，逐类跑检测规则。
4. 分析：按严重度（info / low / medium / high / critical）核对命中；--min-severity 过滤低价值噪音。
5. 报告：文本 / JSON / Markdown 三种输出；--output 写文件，默认打印。
6. 决策纪律：只做只读分析并给建议；不联网、不主动扫描、不改动日志；命中只说明「可疑」，需人工核实确认。

功能

• 四类日志解析：auth/secure（sshd / login / sudo…）、Web 访问日志（common/combined）、PowerShell 脚本块日志、Windows 事件日志（Security/System，key=value / wevtutil 文本 / XML 单行导出）；
• 类型自动嗅探：无需手动指定，按行特征判断类型；也可 --type 强制；
• auth 检测：失败登录聚合 / 同源爆破 / 时间窗内多账号撞库 / 异常登录（失败后成功）/ root 直登 / sudo 提权与越权尝试；
• web 检测：404 洪峰 / 扫描器探测特征 / webshell 上传·访问轨迹 / 路径遍历 / SQL 注入 / 可疑 User-Agent；
• powershell 检测：编码命令 / 下载执行 / 反射加载 / AMSI 绕过 / 混淆启发式；
• winevt 检测：登录失败聚合（爆破 / 撞库）/ 异常·管理员·RDP 登录 / 账户创建·删除·锁定 / 组成员添加 / 安全日志清空 / 可疑进程创建 / 新服务安装 / 计划任务创建；
• 时间线 + 中文说明：命中按时间排序，每条含类型、严重度、证据行、中文说明与复核建议；
• 三种输出：文本 / JSON（stdout 纯净）/ Markdown 报告。

详细的规则与阈值说明见 references/。

检测规则一览

边界（安全红线）

• 只读本地：不联网、不主动扫描、不修改 / 删除 / 写入任何日志内容；
• 不提供利用：所有命中只做「可疑提示 + 复核建议」，不提供利用细节；
• 授权：仅用于已获明确授权 / 自有资产 / CTF 靶场 / 教学环境的安全审计；未经授权分析他人系统数据违反法律，使用者自行承担责任。

参考文档

• references/auth-log-rules.md — auth 日志检测规则与阈值说明
• references/web-log-rules.md — Web 访问日志检测规则与特征表
• references/powershell-log-rules.md — PowerShell 脚本块检测规则与启发式
• references/windows-event-rules.md — Windows 事件日志检测规则（EventID 语义与阈值）
• references/analysis-spec.md — 元察分析规范（判型 / 字段提取 / 风险判定 / SOP / 输出报告）

法律声明

本技能仅用于已获明确授权的安全审计（自有资产、授权测试、CTF 靶场、教学环境）。 未经授权分析他人系统数据违反中国《网络安全法》与《刑法》相关条款，使用者自行承担法律责任。