综合python案例，防守漏洞怎么识别定位？

Python 综合案例：防守漏洞的识别与定位

"防守漏洞"在不同领域含义不同，下面按网络安全和业务风控两大主流场景展开，都给出可运行的 Python 思路和代码。

理解"防守漏洞"的通用分析框架

识别漏洞本质是"建立基线 → 检测异常 → 定位根因"三步：

数据采集 → 特征提取 → 基线建模 → 异常检测 → 归因定位 → 修复验证

场景 A：网络安全 —— 识别防守盲区

案例：从访问日志中发现"防守漏洞"

假设我们有一份 HTTP 访问日志（或防火墙日志），要找出：哪些攻击行为没有被拦截。

import pandas as pd
import numpy as np
from sklearn.ensemble import IsolationForest
# 1. 模拟日志数据
np.random.seed(42)
n = 2000
df = pd.DataFrame({
    "ip": np.random.choice([f"10.0.0.{i}" for i in range(1, 30)], n),
    "path": np.random.choice(
        ["/index", "/login", "/api/user", "/admin", "/.env",
         "/wp-admin", "/../../etc/passwd", "/api/order"], n,
        p=[0.3, 0.2, 0.2, 0.05, 0.05, 0.05, 0.05, 0.1]),
    "status": np.random.choice([200, 403, 404, 500], n, p=[0.6, 0.1, 0.2, 0.1]),
    "method": np.random.choice(["GET", "POST", "PUT"], n, p=[0.7, 0.25, 0.05]),
})
# 2. 特征工程：提取"高危特征"
sensitive_paths = ["/.env", "/wp-admin", "/../../etc/passwd", "/admin"]
df["is_sensitive_path"] = df["path"].isin(sensitive_paths).astype(int)
df["is_forbidden"]      = (df["status"] == 403).astype(int)
df["is_success"]        = (df["status"] == 200).astype(int)
# 3. 规则识别：命中敏感路径却返回 200 = 防守失效
#    命中敏感路径返回 403 = 防守正常
#    命中敏感路径但从未被 403 = 防守规则缺失
def detect_leak(row):
    if row["is_sensitive_path"] and row["status"] == 200:
        return "🔴 防守漏洞：攻击成功"
    if row["is_sensitive_path"] and row["status"] == 403:
        return "🟢 已拦截"
    return None
df["analysis"] = df.apply(detect_leak, axis=1)
# 4. 定位：按 IP + 路径聚合漏洞
leaks = df[df["analysis"] == "🔴 防守漏洞：攻击成功"]
print("=== 漏洞命中详情 ===")
print(leaks.groupby(["ip", "path"]).size().sort_values(ascending=False).head(10))
# 5. 无监督检测：找出整体异常访问模式
features = df[["is_sensitive_path", "is_forbidden", "is_success"]]
model = IsolationForest(contamination=0.05, random_state=42)
df["anomaly"] = model.fit_predict(features)
print("\n=== 异常 IP TOP5 ===")
print(df[df["anomaly"] == -1]["ip"].value_counts().head())

输出示例（含义）：

• 某 IP 频繁访问 /.env 且返回 200 → 该路径未做拦截
• 某 IP 访问 /wp-admin 从未返回 403 → 后台防护规则缺失

定位思路小结

场景 B：业务风控 —— 识别防守规则漏洞

案例：从交易数据中发现"薅羊毛"漏洞

import pandas as pd
import numpy as np
# 1. 模拟订单数据
np.random.seed(0)
n = 5000
df = pd.DataFrame({
    "user_id": np.random.randint(1, 500, n),
    "device_id": np.random.choice([f"dev_{i}" for i in range(1, 800)], n),
    "amount": np.round(np.random.exponential(50, n), 2),
    "coupon": np.random.choice([0, 1], n, p=[0.7, 0.3]),
    "ts": pd.date_range("2024-01-01", periods=n, freq="10s"),
})
# 2. 特征：短时间内多账号共用设备 / 单设备高频下单
device_agg = df.groupby("device_id").agg(
    user_cnt=("user_id", "nunique"),
    order_cnt=("user_id", "count"),
    avg_amount=("amount", "mean"),
    coupon_rate=("coupon", "mean"),
).reset_index()
# 3. 定义风控漏洞的信号
def flag(row):
    flags = []
    if row["user_cnt"] > 5:
        flags.append("多账号共用设备")
    if row["order_cnt"] > 20:
        flags.append("高频下单")
    if row["coupon_rate"] > 0.8 and row["avg_amount"] < 20:
        flags.append("疑似薅羊毛")
    return ",".join(flags) if flags else "正常"
device_agg["risk"] = device_agg.apply(flag, axis=1)
# 4. 输出漏洞点
risky = device_agg[device_agg["risk"] != "正常"].sort_values("order_cnt", ascending=False)
print("=== 风控漏洞设备 ===")
print(risky.head(10))

定位逻辑：

• 规则应拦住"新设备首单大额用券" → 若未拦住 = 漏洞
• 规则应拦住"1 设备多账号" → 若未拦住 = 漏洞

通用漏洞定位算法（核心思路）

无论哪个场景，定位都可以用下面的通用四步法：

def locate_defense_gaps(df, group_key, signals):
    """
    df: 数据
    group_key: 定位维度（IP/用户/设备/接口）
    signals: dict 信号名 -> 判断函数
    """
    results = []
    for name, group in df.groupby(group_key):
        for sig_name, fn in signals.items():
            if fn(group):                       # 命中防守漏洞信号
                results.append({
                    "target": name,
                    "gap": sig_name,
                    "evidence": len(group)
                })
    return pd.DataFrame(results).sort_values("evidence", ascending=False)
# 用法示例
signals = {
    "敏感路径未拦截": lambda g: ((g["path"].str.contains("admin|env", case=False)) &
                                 (g["status"] == 200)).any(),
    "响应码异常":     lambda g: (g["status"] == 403).sum() == 0 and len(g) > 10,
    "访问频率异常":   lambda g: len(g) > 200,
}
gaps = locate_defense_gaps(df, "ip", signals)
print(gaps.head())

定位到根因的进阶方法

示例：用 SHAP 定位风控模型的漏洞

import shap
from sklearn.ensemble import RandomForestClassifier
X = device_agg[["user_cnt", "order_cnt", "avg_amount", "coupon_rate"]]
y = (device_agg["risk"] != "正常").astype(int)
clf = RandomForestClassifier(n_estimators=100).fit(X, y)
explainer = shap.TreeExplainer(clf)
shap_values = explainer.shap_values(X)
# 哪个特征最影响"被判异常"→ 即为漏洞的主要驱动
shap.summary_plot(shap_values[1], X)

漏洞识别定位的"套路"

1. 先定义"防守"是什么 —— 有哪些规则、本该拦住什么
2. 拿到"实际发生了什么" —— 日志、交易、审计数据
3. 对比预期与实际 —— 差集就是漏洞候选
4. 多维度定位 —— IP / 用户 / 设备 / 接口 / 时间
5. 归因到根因 —— 规则缺失、规则失效、还是被绕过
6. 验证与回归 —— 修复后复测，避免误报

一句话：漏洞 = "本该拦住却放过了"，Python 的价值在于把"本该"和"实际"都变成可计算的特征，然后做集合差 + 异常检测 + 归因分析。

如果你能说明具体场景（Web 安全 / 风控 / 反爬 / 入侵检测 / 数据泄露等）,我可以给出更贴合那类数据的完整代码。