文章总结： 本文介绍EFF-Monitoring安全监测研判提效工具，旨在解决蓝队日志处理繁琐与研判效率低的问题。工具集成日志解析、微步威胁情报、AI研判及消息推送功能，通过自动化与AI辅助提升效率。文章详述核心功能、安装配置与使用方法，提供项目地址，适合攻防演练及日常值班的安全运营人员使用。 综合评分： 80 文章分类： 安全工具,安全运营,实战经验,威胁情报,AI安全

【攻防演练】安全监测研判提效工具

0xSecDebug 0xSecDebug

0xSecDebug

2026年2月12日 18:46 陕西

EFF-Monitoring 安全监测研判提效工具

    请勿利用文章内的相关技术从事非法渗透测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具和内容均来自网络，仅做学习和记录使用，安全性自测，如有侵权请联系删除。

项目地址在文章底部哦

EFF-Monitoring（Efficient Monitoring，高效监控），是一款面向安全运营 / 蓝队的安全监测研判提效工具，聚焦“高效日志处理 + 自动化情报补全 + AI 研判”，帮助安全监测人员在攻防演练和日常值班中快速看懂告警、打通上下游，特别适用于本地无AI大模型、SOAR的场景。

核心价值

• 把“堆满终端的原始日志”变成“结构化视图”一次性解析出安全监测人员进行事件记录的所有字段（包括手动添加和日志识别），并自动生成可复制到聊天工具/Excel 的两种格式。
• 把威胁分析的动作收敛到一屏集成微步 ThreatBook，对源/目的 IP 统一查询，自动聚合情报并以“总体概览 + 详细分区”的方式呈现。
• 把“分析研判”交给 AI，自己专注于决策基于 CO-STAR 提示词，将解析结果 + 请求/响应 + TI 结果拼成上下文，一键生成结构化研判结论；支持单条告警和多条告警（按历史记录批量研判）两种模式。
• 把“重复劳动”沉到规则和配置里通过 GUI 配置规则、字段顺序、静态字段、消息模板等，把经验固化为规则；后续只需粘日志、点按钮，大量日常工作变成“确认而不是重做”。
• 赋能初级研判人员，小白秒入门威胁情报分析、AI辅助分析、白名单黑名单匹配从技术层面解决了初级监测人员看不懂告警、弄不清威胁、易封错ip的问题。
• 把“信息碎片”汇成可复盘的历史对每次解析结果及 TI / AI 输出做持久化，支持导出 CSV、批量 AI 复盘，为演练复盘/报告撰写提供原始素材。

功能特性

1. 日志处理 📋

• 支持通过「规则管理」页面自定义正则规则，解析安全设备告警日志。
• 内置基础 KV 解析（分号、制表符、换行等），兼容非结构化文本。
• 解析结果同时以「消息格式」和「Excel 格式」展示，方便复制到聊天工具或表格。

2. 威胁情报 🔍

• 集成微步 ThreatBook：

• API 请求模式：使用官方 ip_reputation 接口。

• HTTP 请求模式：使用浏览器 Cookie 访问 https://x.threatbook.com/v5/ip/<ip> 页面（适合 API 配额紧张场景）。

• 根据配置对源 IP / 目的 IP 分别查询，结果统一渲染。

3. AI 研判 🤖

• 使用 SiliconFlow 的 Chat Completions 接口。

• 采用 CO-STAR 风格提示词，将：

• 日志解析结果，

• 请求/响应/载荷，

• 威胁情报结果 组合成上下文，自动生成结构化研判结论。

• 支持配置：

• 分析目标（Objective）

• 受众（客户 / 专家 / 初学者）

• 输出模式（结构化 / 简要 / 报告）

4. IP 列表管理 📝

• 图形界面管理白名单 / 黑名单：

• 支持单 IP、CIDR、范围、简写范围（例如 192.168.1.1-100）。

• 日志处理时自动检查源 / 目的 IP 是否在白 / 黑名单，并弹出提醒。

5. 消息推送 📤

• 将格式化后的告警结果发送到：

• 钉钉

• 企业微信

• 飞书

• 支持同时向多个渠道发送，界面中可以查看发送结果提示。

6. 规则与配置管理 ⚙️

• 规则管理

  （RulePage）：

• 以表格形式管理字段规则（字段 / 匹配方式 / 正则或固定值）。

• 配置管理

  （ConfigPage）：

• GUI 配置 ThreatBook、AI、Webhook、字段顺序、历史记录等。

• 支持重新加载配置、保存配置，并在各页面自动生效。

安装与运行

环境要求

• Python 3.10+
• 支持 macOS / Linux / Windows

安装依赖

pip install -r requirements.txt

启动应用

python run.py

首次启动会自动生成默认的 config.json、白名单 / 黑名单文件等。 编译版本直接双击运行即可

快速上手

示例：处理 Web 告警日志并做 TI + AI 研判

1. 打开 日志处理 页面。
2. 将原始告警日志粘贴（Ctrl+A 全选复制即可）到左侧输入框，例如：

   源IP: 172.21.112.184
   目的IP: 172.16.1.80
   事件类型: HTTP目录遍历请求尝试
   请求内容: GET /../../../../etc/passwd HTTP/1.1
   响应内容: HTTP/1.1 403 Forbidden

3. 点击 处理日志：

• 使用当前规则解析日志，提取必填字段及其它字段。
• 若源 / 目的 IP 命中白 / 黑名单，会弹出提示。
• 右侧展示「消息格式」和「Excel 格式」两种输出。

3. 点击 告警研判：

• 根据配置选择是否对源 / 目的 IP 查询 ThreatBook。
• 在「威胁情报」标签页查看总体概览和详细情报。
• 在「AI 研判结果」标签页查看 AI 给出的结构化结论。

3. 若需推送到群聊，点击 发送到群聊，在「配置管理 → 消息推送」中预先填好钉钉 / 企业微信 / 飞书的 Webhook 即可。

IP 管理

1. 打开 IP 管理 页面。
2. 通过顶部按钮在「白名单 / 黑名单」之间切换当前列表。
3. 使用「添加 / 删除选中 / 导入 / 导出 / 保存」管理名单。
4. 支持的 IP 表达方式：

• 单 IP：192.168.1.1
• CIDR：192.168.1.0/24
• 范围：192.168.1.1-192.168.1.100
• 简写范围：192.168.1.1-100

配置 ThreatBook / AI / Webhook

1. 打开 配置管理 页面。
2. 在「威胁情报」标签页：

• 请求模式按钮在「禁用 / API 请求 / HTTP 请求」之间点击切换。
• API 请求模式：填写 ThreatBook API Key。
• HTTP 请求模式：在浏览器登录微步社区后复制 Cookie 填入 HTTP Cookie 字段。
• 查询模式：选择查询源 IP、目的 IP，或两者。
• 使用「测试查询」按钮验证配置是否有效（HTTP 模式下若返回空结果，会弹出可点击链接提醒，可在浏览器手动校验是否触发机器人验证）。

1. 在「AI 配置」标签页：

• 填写模型名称、API Key、Base URL。
• 配置分析目标（Objective）、受众（Audience）和输出模式（Response Mode）。

1. 在「消息推送」标签页配置钉钉 / 企业微信 / 飞书 Webhook。
2. 在「解析配置」标签页调整字段顺序、历史记录最大条数等。

📖 项目地址

https://github.com/Fausto-404/EFF-Monitoring?tab=readme-ov-file

💻 威胁情报推送群

  如果师傅们想要第一时间获取到最新的威胁情报，可以添加下面我创建的钉钉漏洞威胁情报群，便于师傅们可以及时获取最新的IOC。

 如果师傅们想要获取网络安全相关知识内容，可以添加下面我创建的网络安全全栈知识库，便于师傅们的学习和使用：

    覆盖渗透、安服、运营、代码审计、内网、移动、应急、工控、AI/LLM、数据、业务、情报、黑灰产、SOC、溯源、钓鱼、区块链等  方向，内容还在持续整理中……。

点分享

点收藏

点在看

点点赞

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：0xSecDebug 0xSecDebug 0xSecDebug《【攻防演练】安全监测研判提效工具》