用途：在 AWS、Azure 或 GCP 中调查安全事件，采集并分析云取证证据，包括易失与非易失证据，追踪通过云 API 日志的未授权访问，并分析受侵虚拟机、容器或无服务器函数。
前提条件：对目标云账户有管理权限；已配置 AWS CLI、Azure CLI 或 gcloud 且具备相应权限；了解云原生日志（CloudTrail、Activity Log、Audit Log）；取证工作站安装云 SDK；熟悉目标云的 IAM、网络与计算服务；具备云环境证据保全流程。
主要流程：第一步保全证据并划定范围，例如用 aws ec2 create-snapshot 为受侵实例卷创建快照、aws ec2 describe-instances 采集实例元数据与安全组、aws ec2 modify-instance-attribute 隔离实例，或用 az snapshot create、gcloud compute disks snapshot 创建磁盘快照。第二步采集云 API 与访问日志，包括 aws cloudtrail lookup-events、s3 sync 下载 CloudTrail 日志、Athena 查询、aws logs filter-log-events 读取 VPC 流日志，以及 az monitor activity-log list、gcloud logging read 读取审计日志。第三步分析 IAM 与访问模式，可用 Python 解析 CloudTrail 事件，按来源 IP 聚合、标记错误事件与关键操作（如 CreateUser、CreateAccessKey、StopLogging、DeleteTrail 等）。第四步从快照创建取证卷并只读挂载，提取系统日志、crontab、SSH 密钥、bash 历史等。第五步生成结构化取证报告。
适用场景：IAM 访问密钥泄露、EC2 加密货币挖矿、S3 数据泄露、EKS/AKS/GKE 容器逃逸等。
限制：资料未提供具体收费、价格或效果保证；实际权限、区域和日志保留策略会影响可采集范围；云资源可能随时被终止，需尽快保全证据。