detecting-aws-cloudtrail-anomalies

用途：检测 AWS CloudTrail 日志中的异常 API 调用模式，识别凭证泄露或内部威胁。主要能力：使用 boto3 的 lookup_events API 查询 CloudTrail 事件并分页；按用户、源 IP、事件源和事件名聚合事件，建立正常行为统计基线；标记异常模式，如用户出现新事件源、首次 API 调用、地理位置 IP 变化、高错误率及敏感 API 使用（IAM、KMS、S3 策略变更）；生成含异常评分、可疑用户和调查建议的 JSON 报告。使用方式：需 Python 3.9+ 与 boto3，AWS 凭证具备 cloudtrail:LookupEvents 权限，目标账户已启用 CloudTrail（至少管理事件），并了解 AWS IAM 与常见 API 模式。步骤为查询事件、构建基线、检测异常、生成报告。适用场景：安全事件调查、检测规则或威胁狩猎查询构建、SOC 分析师结构化流程、验证相关攻击技术的监控覆盖。限制：资料未提供具体命令、代码示例、价格或平台支持细节。