用途：为 AWS API 活动构建安全监控管道、调查安全事件中攻击者跨服务行为、满足审计合规要求、编写针对已知攻击模式的检测规则，以及建立 API 行为基线以支持异常检测。不适用于实时威胁检测（可用 GuardDuty）、应用级日志（用 CloudWatch Application Logs）或网络流量分析（用 VPC Flow Logs）。
主要能力：组织级跟踪（is-organization-trail、is-multi-region-trail）覆盖多账户；启用 S3 与 Lambda 数据事件；通过 Athena 建立外部表并用 SQL 检测无 MFA 的 ConsoleLogin、IAM 权限提升、CloudTrail 篡改、可疑 IP 调用与 AccessDenied 模式；CloudWatch Logs Insights 查询 root 账户使用、安全组变更与新建 IAM 用户/密钥；按 CIS 基准创建指标过滤器与 CloudWatch 告警。
使用方式：先启用跟踪并启动日志记录，配置事件选择器；运行 aws cloudtrail create-trail / start-logging / put-event-selectors；在 Athena 创建 cloudtrail_logs 外部表并添加分区；用 CloudWatch Logs 的 aws logs start-query 执行查询；用 aws logs put-metric-filter 和 aws cloudwatch put-metric-alarm 建立告警。命令与查询须保持原样。
适用场景：凭证泄露取证、权限提升排查、合规审计、CIS 基准告警落地。
限制：CloudTrail 事件进入 S3 与 CloudWatch Logs 最多延迟 15 分钟；活跃事件期间应使用 CloudTrail Lake 或 Logs Insights；跨区域攻击需查询多个区域分区；资料未提供具体价格、收费或平台细节。