用途：检测 AWS S3 存储桶的数据外泄尝试，适用于 GuardDuty 发现异常 S3 访问、调查疑似数据泄露、构建数据防泄漏检测规则、响应 Macie 敏感数据告警，以及合规要求监控分类数据存储访问的场景。不适用于阻止外泄（应使用桶策略、VPC 端点和 SCP）、数据分类（应使用 Macie 发现任务）或网络层外泄检测。
主要能力：启用 CloudTrail S3 对象级数据事件日志；用 Athena 或 CloudWatch Logs Insights 查询批量下载、异常时间与陌生源 IP；审查 GuardDuty S3 相关发现类型；分析 Macie 敏感数据发现；通过 CloudWatch 指标过滤器、告警和 EventBridge 规则构建自动化检测；部署 VPC 端点策略与桶策略实施预防控制。
使用方式：先配置 CloudTrail 数据事件与 GuardDuty S3 Protection，再查询日志、审查发现、关联 Macie 分类，最后建立告警与预防策略。必要命令保持原样，如 aws cloudtrail put-event-selectors、aws guardduty update-detector、aws logs start-query、aws macie2 list-findings、aws cloudwatch put-metric-alarm、aws events put-rule、aws ec2 modify-vpc-endpoint、aws s3api put-bucket-policy。
限制：CloudTrail S3 数据事件日志量巨大，跨 24 小时以上查询建议用 Athena 分区表；GuardDuty 基线学习需 7-14 天，新账户可能误报。具体收费、价格、平台支持与效果暂未提供。