detecting-aws-cloudtrail-anomalies

用途：检测 AWS CloudTrail 日志中的异常 API 调用模式，识别凭证泄露或内部威胁。主要能力：使用 boto3 的 lookup_events API 查询 CloudTrail 事件；按用户、源 IP、事件源和事件名聚合事件，建立正常 API 活动的统计基线；标记异常模式，包括每个用户的新事件源、首次 API 调用、地理 IP 变化、高错误率以及敏感 API 使用（IAM、KMS、S3 策略变更）；生成包含异常评分、可疑用户和调查建议的 JSON 报告。使用方式：需 Python 3.9+ 与 boto3 库，具备 CloudTrail 读取权限（cloudtrail:LookupEvents）的 AWS 凭证，了解 AWS IAM 与常见 API 模式，目标账户已启用 CloudTrail（至少管理事件）。步骤为：查询 CloudTrail 事件并分页；构建活动基线；检测异常；生成检测报告。适用场景：安全事件调查、构建检测规则或威胁狩猎查询、SOC 分析师结构化分析流程、验证相关攻击技术的安全监控覆盖。限制：资料未提供具体命令、代码示例、收费或价格信息，也未说明支持平台与效果保证。