用途 这是一个面向 Datadog 环境的密钥泄露调查技能，用于在怀疑 API 密钥被泄露或滥用时，基于 Datadog Audit Trail 重建该密钥的历史行为，评估影响范围并指导补救。
前置条件 需要先完成认证，方式为：
pup auth login # OAuth2（推荐）
或设置 DD_API_KEY + DD_APP_KEY，并具备 audit_logs_read 权限范围
还需要可疑密钥的 key ID（不是密钥值）。可在 Datadog UI 的 Organization Settings > API Keys 中查找，或从带有 @metadata.api_key.id 的上下文中获取。
主要能力（调查工作流） 技能包含五个步骤，均通过 pup audit-logs search 配合 jq 处理：
- 建立时间线：按 @metadata.api_key.id 查询近 90 天日志，提取时间戳、动作、事件名、资源类型与 ID、接口端点与 HTTP 方法、来源 IP、城市、国家、ASN。
- 地理/IP 分布：按国家分组统计事件数量，列出涉及的 ASN 与 IP，并按数量降序排列。
- 接口端点分布：按路径分组，统计各路径的 HTTP 方法与调用次数。
- 破坏性操作检查：使用 @action:deleted 查询，列出被删除资源的类型、ID、来源 IP 与国家。
- 密钥创建信息：使用 @asset.type:api_key @asset.id:KEY_ID @action:created 查询，获取创建时间、创建者邮箱、创建者 IP 与国家。
异常信号标记 技能列出若干可疑信号：来源国家不在组织常规基线内（可能来自意外区域的窃取）；ASN 属于云或 VPN 提供商（如 AWS、Cloudflare、NordVPN 等，代理流量、来源被隐藏）；对监控器、仪表盘或日志管道执行 DELETE 操作（潜在破坏）；短时间窗口内的突发活动（自动化抓取或批量窃取）；非工作时间的活动；同一密钥被多个 IP 同时使用（密钥被共享或窃取）。
输出格式 调查结果建议按以下结构呈现：Key ID、创建时间与创建者、活跃区间、事件总数；来源列表（国家、ASN、事件数与是否异常标记）；被调用端点前五名（方法与路径及调用次数）；破坏性操作数量与受影响资源类型；建议措施（立即吊销密钥、审查受影响资源、检查被删除资源是否需要恢复、审计其他可访问该密钥的人员）。
补救 在 Datadog UI 中吊销：Organization Settings > API Keys > Revoke。 或通过 API（需 manage_api_keys 权限范围）：
pup api-keys delete KEY_ID
适用场景与限制 适用于具备 Datadog Audit Trail 日志、需要响应密钥疑似泄露事件的安全或运维人员。技能依赖 pup CLI 与 jq，以及可查询的审计日志数据；资料未说明无审计日志或超出 90 天范围时的替代方案。价格、具体平台支持范围等未提供。