用途：面向阿里云安全中心（SAS）的挖矿攻击检测与诊断，适用于用户报告或怀疑主机被植入挖矿程序、收到挖矿告警时使用。
主要能力（6 步 SOP）：1）通过 DescribeSuspEvents 以挖矿关键词（xmrig、mining-pool 等）检索告警，输出告警、受影响资产与等级；2）用 DescribeAlarmEventDetail / DescribeSuspEventDetail 提取矿池 IP/域名、样本 MD5/SHA256、恶意进程与命令等 IOC；3）按资产分组并配合 DescribeSecurityStatInfo / DescribeFieldStatistics 评估影响范围；4）用 DescribeExposedInstanceList 与 DescribeVulList（asap）检测暴露面与未修补漏洞，推测入侵入口；5）风险评估（严重度、处理状态、扩散、入口）；6）输出含 IOC 表、受影响资产、攻击面、P0–P3 优先级处置建议的报告，确认挖矿时报告顶部给出 URGENT 提示并附四阶段修复流程，但仅为手动修复指引。
使用方式：需 aliyun CLI 3.x、SAS 只读权限、Python 3.9+（仅标准库）。命令：brew install aliyun-cli；aliyun configure；python scripts/mining_investigation.py --account <UID>。可选参数 --days、--region（默认 cn-hangzhou）、--format json|markdown、--output、--dealed、--profile。UID 省略时脚本通过 STS 自动推导，并在报告元数据中标注。
限制：严格只读，禁止调用 Update/Delete/Disable/Modify/Create/Rotate/Set/Operate 等变更 API，也不生成供手动执行的变更脚本；隔离、查杀、下线需人工按输出流程操作。必须通过入口脚本运行完整 SOP，不得改用手写命令或单条 CLI 调用。脚本失败会重试一次；API 报错记 [WARN] 并继续，不虚构告警或 IOC。IOC 保留不脱敏，账号 UID 与资产 uuid 默认掩码。收费、价格与具体平台支持范围暂未提供。