用途：帮助安全团队检测并响应云环境中未授权的加密货币挖矿行为，适用于云账单异常飙升、GuardDuty 产生 CryptoCurrency 或 Impact 类发现、IAM 凭证疑似被盗用于启动挖矿实例、容器工作负载出现未授权进程，以及建立资源劫持主动检测控制的场景。不适用于合法挖矿、物理硬件挖矿检测或与挖矿无关的通用恶意软件分析。
主要能力：从成本异常、算力利用率、网络流量、运行时进程四类信号建立检测；监控 GuardDuty 的 CryptoCurrency:EC2/BitcoinTool.B、CryptoCurrency:Runtime/BitcoinTool.B、Impact:EC2/BitcoinTool.B、Impact:Runtime/CryptoMinerExecuted 等发现类型；通过 VPC Flow Logs 与 DNS 查询识别连接矿池常用端口（3333、4444、5555、8333、9999、14444 等）；检测 ECS/EKS 中的可疑挖矿镜像与进程；确认后执行取证快照、隔离安全组、终止实例等遏制动作，并回溯初始访问向量。
使用方式：需先启用 Amazon GuardDuty 运行时监控（EC2/ECS/EKS）、CloudWatch 或 Azure Monitor 算力告警、VPC Flow Logs、AWS Cost Anomaly Detection 或 Azure Cost Management 告警。资料给出 AWS CLI 命令示例，如创建成本异常监控与订阅、CloudWatch CPU 告警、EventBridge 规则匹配挖矿发现并触发 Lambda 自动修复，以及 Athena 与 Sentinel KQL 查询矿池连接。
限制：资料未提供具体定价、部署耗时或效果数据；示例中的账号 ID、ARN、邮箱等均为占位值，需替换为实际环境配置。