用途：面向 AWS 安全事件取证，用 Athena 对海量云日志做 SQL 分析与跨日志关联。
主要能力：提供 CloudTrail、VPC Flow Logs、S3 访问日志、ALB 访问日志四类外部表的 CREATE 语句，均使用分区投影自动发现分区；给出未授权 API 调用、权限提升、S3 数据外泄、横向移动、端口扫描、批量下载、注入尝试等取证查询，并可用 CTE 跨日志关联构建事件时间线。
使用方式：需具备 Athena、S3、Glue 权限，并已启用 CloudTrail、VPC Flow Logs、S3 访问日志和 ALB 日志投递到 S3；Python 3.8+ 且安装 boto3。先执行建库建表语句，再运行查询。示例命令：python agent.py --action full_investigation --database cloud_forensics --start-date 2024-06-01 --end-date 2024-06-30 --output forensics_report.json。也可用 --action privilege_escalation、setup_tables 等。
适用场景：AWS 安全事件调查、持续威胁狩猎、合规审计取证。
限制：需自行替换账户、区域、桶名等占位符；日志需已投递到 S3；查询会消耗 Athena 扫描量与费用；资料未提供 agent.py 完整实现、价格、支持地区等细节。