用途
该技能用于分析云存储的访问模式，检测 AWS S3、GCS 和 Azure Blob Storage 中的异常访问行为。它面向安全事件调查、检测规则与威胁狩猎查询构建、SOC 分析师的结构化分析流程，以及验证相关攻击技术的安全监控覆盖情况。
主要能力
- 查询 CloudTrail 中的 S3 Data Events（可通过 AWS CLI 或 boto3）。
- 构建访问基线：按小时的请求量、每用户的对象数量、来源 IP 历史。
- 检测以下异常：
- 非工作时间访问（本地时间 8am–6pm 之外）
- 批量下载：单个主体在 1 小时内超过 100 次 GetObject 调用
- 过去 30 天内未出现过的新来源 IP
- ListBucket 枚举激增（侦察指标）
- 生成按优先级排序的发现报告。
使用方式
- 安装依赖：
pip install boto3 requests - 使用 AWS CLI 或 boto3 查询 CloudTrail 的 S3 Data Events。
- 构建访问基线：按小时的请求量、每用户的对象数量、来源 IP 历史。
- 检测异常（非工作时间访问、批量下载、新来源 IP、ListBucket 枚举激增）。
- 生成按优先级排序的发现报告。
运行示例：
python scripts/agent.py --bucket my-sensitive-data --hours-back 24 --output s3_access_report.json
CloudTrail S3 Data Event 示例：
{"eventName": "GetObject", "requestParameters": {"bucketName": "sensitive-data", "key": "financials/q4.xlsx"},
"sourceIPAddress": "203.0.113.50", "userIdentity": {"arn": "arn:aws:iam::123456789012:user/analyst"}}
适用场景
- 调查需要分析云存储访问模式的安全事件。
- 为该领域构建检测规则或威胁狩猎查询。
- SOC 分析师需要该分析类型的结构化流程。
- 验证相关攻击技术的安全监控覆盖情况。
前置条件
- 熟悉云安全概念和工具。
- 可访问测试或实验环境以安全执行。
- Python 3.8+ 并安装所需依赖。
- 任何测试活动均需获得适当授权。
限制
资料未提供关于收费、价格、平台支持范围、检测准确率或效果保证的说明，这些信息暂未提供。