Cloud Forensics 是一个用于云平台环境取证分析的技能，适用于调查 AWS、Azure、GCP 或 Microsoft 365 环境中的安全事件。它能够分析云审计日志、资源配置、数据访问模式和身份活动。
主要能力
- AWS 取证：分析 CloudTrail、VPC Flow Logs、S3 访问、IAM 活动。
- Azure 取证：分析 Azure 活动日志、登录日志、资源变更。
- GCP 取证：分析云审计日志、VPC Flow Logs、IAM 活动。
- M365 取证：分析统一审计日志、邮箱审计、SharePoint 活动。
- 身份分析：跟踪用户活动、权限变更、可疑访问。
- 资源清单：记录云资源和配置。
- 数据访问分析：跟踪对云存储和数据库的访问。
- 时间线生成：创建云活动时间线。
- 证据保全：对云证据进行快照和保存。
- 配置分析：检测错误配置和安全缺口。
使用方式
该技能通过 Python 代码调用，导入 cloud_forensics 模块后初始化对应云平台的取证类。例如：
from cloud_forensics import AWSForensics, AzureForensics, CloudTimeline
aws = AWSForensics(profile="forensics", region="us-east-1")
events = aws.get_cloudtrail_events(days=30)
suspicious = aws.detect_suspicious_activity()
timeline = CloudTimeline()
timeline.add_aws(aws)
典型任务
-
AWS CloudTrail 分析：查询 CloudTrail 事件、解析管理事件、分析数据事件、检测异常、生成时间线。支持按用户、IP 查询事件，分析 IAM 变更，检测权限提升和凭据滥用，导出 CSV 和生成报告。
-
AWS S3 访问分析：获取存储桶访问事件，分析访问模式，检测数据外泄（如大文件下载），识别未授权访问，检测异常访问模式和公开访问事件，分析存储桶策略变更。
-
Azure 活动日志分析：查询活动日志、分析登录事件、跟踪资源变更、检测异常。支持获取登录日志、风险登录、目录审计日志，检测可疑活动。
-
Microsoft 365 调查：查询统一审计日志、分析邮箱活动、跟踪 SharePoint/OneDrive 访问、检测数据外泄。支持获取邮箱审计日志、SharePoint 活动、邮件转发规则、eDiscovery 搜索。
-
GCP 云审计分析：查询云审计日志、分析管理员活动、跟踪数据访问、检测异常。支持获取管理员活动日志、数据访问日志、IAM 变更、云存储访问日志、VPC Flow Logs。
-
云身份调查：枚举身份、分析权限变更、跟踪认证事件、检测凭据泄露。支持获取身份时间线、检测不可能旅行、检测凭据共享、获取权限变更、检测权限提升。
-
云资源清单：枚举所有资源、记录配置、识别暴露资源、检查安全设置。支持按类型获取资源、查找暴露资源、获取安全组信息，导出 JSON 和 CSV。
-
证据保全：识别需保全的资源、创建快照、导出日志、记录监管链、验证保全。支持保全 AWS 实例、S3 存储桶、CloudTrail 日志、Azure VM、Azure 存储，生成监管链 PDF 并验证证据完整性。
-
云网络分析：解析流日志、分析流量模式、识别 C2 通信、检测横向移动。支持加载 AWS VPC Flow Logs、获取流量统计、查找 top talkers、检测可疑流量和 C2 信标。
适用场景
适用于云环境安全事件响应、取证调查、合规审计、威胁狩猎等场景，覆盖 AWS、Azure、GCP 和 Microsoft 365 多云环境。
限制
该技能的收费、价格、平台支持细节、安装命令等具体信息暂未提供。