用途：在云环境中检测并响应未授权的加密货币挖矿（Cryptomining）活动。适用于调查云算力成本或 CPU 利用率异常上升、收到 GuardDuty/Defender for Cloud/SCC 加密货币相关告警、监控被盗凭证被用于启动挖矿实例、为未授权工作负载部署构建检测规则，以及响应连接已知矿池基础设施的告警。不适用于终端或本地服务器的挖矿检测（应使用 EDR 工具）、挖矿财务影响调查（应使用云成本管理工具）或网络层封堵挖矿（应使用 DNS 过滤与防火墙规则）。
前置条件：启用 AWS GuardDuty（所有账户与区域）、Azure Defender for Cloud（服务器与容器计划）、GCP Security Command Center（Event Threat Detection）、CloudTrail/Azure Activity Log/GCP Audit Log、云成本监控告警（AWS Cost Anomaly Detection、Azure Cost Management）以及网络流日志（VPC Flow Logs、NSG Flow Logs）。
主要能力与工作流：一、查询 GuardDuty 加密货币专用发现类型（如 CryptoCurrency:EC2/BitcoinTool.B!DNS），获取详情；二、检测计算使用异常，包括近期启动的大型实例（c5/c6/p3/p4/g4/g5 等）、高 CPU 利用率、成本异常检测、Azure VM 异常 CPU 模式；三、分析网络流量中的矿池连接，查询 VPC Flow Logs 中端口 3333、4444、8333、14444 等，以及 DNS 查询中矿池域名关键词（pool、mining、xmr、monero、nicehash、ethermine、f2pool、nanopool）；四、调查容器与无服务器挖矿，如用 kubectl top pods 查找高 CPU Pod、扫描含 xmrig/monero/miner 等可疑镜像、检查 Lambda 函数异常时长与内存；五、追踪攻击向量，通过 CloudTrail 等审计日志查询启动可疑实例的主体、被盗 AccessKey 使用情况及异常 RunInstances 调用；六、遏制与修复，终止挖矿实例、停用被盗凭证、应用 SCP 拒绝大型 GPU 实例类型、配置账单告警。
限制：依赖云平台原生日志与检测服务的启用；针对云端，不覆盖终端与本地服务器；不含财务影响调查与网络层封堵。具体操作命令以资料中提供的 AWS/Azure/GCP CLI 示例为准，缺失的环境参数需用户自行替换。