用途：在调查来自陌生位置的异常云 API 活动、构建凭证窃取与滥用检测规则、响应云厂商的凭证暴露通知、监控云身份的凭证填充或暴力破解，以及初步检测后评估凭证泄露范围时使用。不适用于预防凭证泄露（应使用 MFA、凭证轮换和密钥管理）、检测应用层凭证窃取（应使用应用安全监控）或终端凭证窃取检测（应使用 EDR 工具）。
主要能力：覆盖 AWS、Azure、GCP 三云。AWS 侧查询 GuardDuty 凭证相关发现、CloudTrail 控制台登录与新位置登录、短时间地理远距离登录和唯一 IP 数量异常；Azure 侧查询 Entra ID 风险登录、匿名或 Tor IP 登录、Identity Protection 中标记为高风险的被泄露用户及应用同意授予；GCP 侧查询 SCC 事件威胁检测发现、服务账号密钥从非内网 IP 使用、API 调用来自 Tor 出口节点及新建服务账号密钥等持久化指标。可用 siem_correlation.py 构建跨云关联规则，检测不可能旅行与凭证填充。确认泄露后执行遏制：停用 AWS 访问密钥、更新角色信任策略、以 Deny 策略撤销旧会话、撤销 Azure 登录会话、强制密码重置、禁用 GCP 服务账号并删除密钥。
必要用法：需预先启用 AWS GuardDuty、Azure Defender for Identity 与 Entra ID Protection、GCP Security Command Center 事件威胁检测，集中 CloudTrail、Azure 活动日志与 GCP 审计日志，并接入 SIEM 与威胁情报源。检测流程按 AWS、Azure、GCP 顺序查询，再用 SIEM 规则跨云关联，最后对已确认事件采取遏制。
限制：仅关注检测与响应，不负责预防；需相应云服务与日志已启用且集中；不可能旅行与凭证填充规则为示例代码，实际阈值和 IP 情报需按环境调整；遏制操作会中断用户访问，执行前应确认事件并评估影响；密码重置不会使既有访问密钥或活动会话失效，需同时轮换密钥并撤销临时凭证，并排查攻击者创建的持久化后门。