用途：在 AWS、Azure、GCP 多云环境中建立持续安全监控，评估 CIS、SOC 2、PCI DSS 等合规基线，发现跨账号与订阅的错误配置，检测配置漂移并做出修复，也适用于工作负载上云时的安全护栏建设。不适用于运行时工作负载保护、应用安全测试或网络入侵检测。
主要能力：启用各云原生的 CSPM 服务（AWS Security Hub、Microsoft Defender for Cloud、GCP Security Command Center）进行基线评估；用 Prowler 执行多云安全检查并输出 json-ocsf、csv、html 结果；用 ScoutSuite 生成跨云风险评分 HTML 报告；构建定时合规监控流水线；聚合并去重多工具发现；通过 AWS Config、Azure Policy、GCP Organization Policy 实现漂移检测与自动修复。
使用方式：先准备多账号只读安全审计凭证、中央日志目的地和通知渠道。安装命令为 pip install prowler 与 pip install scoutsuite。可运行 prowler aws、prowler azure、prowler gcp 配合 --compliance 指定基线，例如 CIS；ScoutSuite 通过 python3 -m ScoutSuite aws/azure/gcp 生成报告。定时扫描可用 EventBridge 调度并结合 CodeBuild；发现结果按严重程度路由到 Slack、PagerDuty、Jira 等渠道。
适用场景：多云企业的统一态势可见性、迁移上云时的安全基线强制、日常合规监控与自动修复。
限制：资料未提供具体的收费、价格、性能指标或完整平台支持清单。使用过宽权限运行 CSPM 工具会形成高价值攻击目标，应使用只读专用服务账号并定期轮换凭证；不同工具对同一错误配置的报告格式可能不同，去重需考虑资源 ID 与标题差异。