用途：用于 AWS 账户疑似被入侵时的云取证与事件响应，覆盖未授权 API 调用、凭证泄露、S3 数据外泄、IAM 权限提升及事后时间线重建等场景。
主要能力：使用 boto3 CloudTrail 客户端的 LookupEvents 查询近 90 天管理事件；通过 AWS Athena 对 S3 中的 CloudTrail 日志执行 SQL 做历史分析；结合 AWS CLI 与 jq 做命令行查询与 JSON 解析；CloudTrail Lake 提供高级事件存储与 SQL 查询支持。分析维度包括 User Agent（AWS CLI、SDK、控制台或自定义工具签名）、AccessKeyId、EventName（如 GetObject、CreateUser、AssumeRole）和 sourceIPAddress。
工作流程：界定时间范围、受影响账户与被泄露凭证；查询 CloudTrail 事件；按可疑用户代理、源 IP 和事件名过滤；按 API 调用重建攻击者行动时间线；分析数据访问、IAM 变更与资源修改；排查新增 IAM 用户、访问密钥、角色或 Lambda 等持久化痕迹；输出取证报告（格式为 AWS-IR-[DATE]-[SEQ]，含账户、时间范围、被泄露凭证、可疑事件数、源 IP、攻击者 API 调用、被访问数据与持久化机制）。
前提条件：账户已启用 CloudTrail（管理事件与数据事件）；具备 cloudtrail:LookupEvents、s3:GetObject、athena:StartQueryExecution 权限；安装 boto3 Python SDK；CloudTrail 日志已投递至 S3 并可选用 Athena 表；AWS CLI 已配置相应凭证。
限制：LookupEvents 仅能查询近 90 天的管理事件；完整历史分析需依赖 S3 日志与 Athena。具体命令与代码示例、价格及配额等信息暂未提供。