用途：该技能用于检测 AWS S3 存储桶的数据外泄尝试，通过分析 CloudTrail S3 数据事件、VPC Flow Logs、GuardDuty 发现、Amazon Macie 告警和 S3 访问模式来识别异常。适用于 GuardDuty 发现异常 S3 访问（如来自异常 IP 的批量下载）、调查疑似数据泄露、构建 S3 数据防泄漏检测规则、响应 Macie 敏感数据访问告警，以及满足合规对敏感数据存储访问的监控与日志要求。不适用于防止外泄本身、数据分类或网络层外泄检测。
主要能力与流程：
- 在 CloudTrail 中启用 S3 数据事件日志，并用 aws cloudtrail put-event-selectors 配置对指定桶的对象级操作记录，启用 GuardDuty S3 Protection。
- 通过 Athena SQL 或 CloudWatch Logs Insights 查询异常访问模式，如按 principal/IP 统计 GetObject 请求量与下载字节数、检测跨账户 CopyObject、ReplicateObject、UploadPart 等操作。
- 查询 GuardDuty S3 相关发现类型（如 Exfiltration:S3/MaliciousIPCaller、Exfiltration:S3/ObjectRead.Unusual、Discovery:S3/BucketEnumeration.Unusual 等）。
- 用 Macie 列出并查看敏感数据分类发现，可创建一次性分类作业。
- 建设自动化检测：CloudWatch 指标过滤器、阈值告警（如每小时超 1000 次 GetObject）、EventBridge 规则匹配 GuardDuty S3 外泄发现。
- 部署预防性控制：VPC 终端节点策略限制可访问桶，桶策略通过 aws:sourceVpce 条件拒绝非 VPC 访问。
使用方式：需预先配置 CloudTrail S3 数据事件日志、启用 GuardDuty S3 Protection、启用 Macie、准备 CloudWatch Logs 或 Athena 查询日志、配置 VPC 终端节点策略。命令需替换真实的 trail-name、detector-id、ACCOUNT_ID、bucket 名称、端点 ID 等占位符。
限制：CloudTrail S3 数据事件日志量巨大，跨 24 小时以上查询建议用 Athena 分区表而非 CloudWatch Logs Insights；GuardDuty 基线学习需 7-14 天，新账户可能误报。该技能侧重检测与响应，不替代防外泄控制或数据分类工具。