用途：用于处理 AWS、Azure、GCP 中的云安全事件，核心思路是“遏制以身份为主”，配合云原生日志分析与证据保全。适用于 CSPM 告警未授权资源变更、CloudTrail/Azure Activity Logs/GCP Audit Logs 出现可疑 API 调用、访问密钥或服务主体凭据疑似泄露、发现未授权计算实例/存储桶/IAM 变更，以及云托管应用被攻破且攻击活动跨云服务等场景。不适用于纯本地、无云组件的事件。
主要能力：按云厂商识别可疑事件（如 AWS 的 CreateAccessKey、RunInstances 挖矿、PutBucketPolicy 公开、DeleteTrail；Azure 的匿名 IP 登录、角色分配变更、MFA 被禁用；GCP 的 SetIamPolicy、CreateServiceAccountKey、SetBucketIamPolicy 等）；执行身份遏制（禁用访问密钥、附加 AWSDenyAll、撤销会话、隔离实例/VM）；保全证据（导出日志、快照磁盘、导出 VPC/NSG 流日志）；调查常见云攻击链（凭据泄露→提权→资源滥用、SSRF→IMDS 令牌窃取、跨账户角色滥用等）；清除与恢复（轮换凭据、删除后门 IAM 实体、终止未授权实例、恢复策略）；事后加固（MFA、SCP/Azure Policy、启用 IMDSv2、预算告警）。
使用方式：需预先启用并集中云原生日志，预置只读取证 IAM 角色，准备隔离取证账户/订阅/项目及各云厂商响应手册。遏制阶段使用云 CLI 命令，例如：aws iam update-access-key --user-name compromised-user --access-key-id AKIA... --status Inactive；aws iam attach-user-policy --user-name compromised-user --policy-arn arn:aws:iam::aws:policy/AWSDenyAll；aws ec2 modify-instance-attribute --instance-id i-0abc123 --groups sg-isolate-forensic。Azure 侧使用 Set-AzureADUser、Revoke-AzureADUserAllRefreshToken、Remove-AzRoleAssignment 等。
限制：资料未提供具体收费、价格、平台支持范围与效果数据；实际执行需具备相应云权限与合规授权，命令中的账号、密钥、实例 ID 等均为示例，需替换为真实值。