该技能用于在 AWS 环境中调查安全事件，核心思路是围绕被入侵的主体（IAM 用户、角色或根账户）进行日志关联：找到主体，拉取其产生的全部事件，即可从时间线推出入侵全貌。资料强调攻击者通常无法删除 CloudTrail、VPC Flow Logs 和控制面 API 记录。
适用情形：访问密钥泄露或被提交至仓库；CloudTrail 出现异常活动（陌生区域、IP 或用户代理）；收到 GuardDuty 告警（凭据外泄、Tor 流量、挖矿、异常 IAM 行为）；未授权的 IAM 变更；加密货币挖矿 EC2 实例或账单告警；S3 数据外泄。
不适用：事件位于 Microsoft 365/Entra ID、Azure 或 Google Cloud；通用 IR 流程与主机级响应；EKS 上的 Kubernetes 转向；无确认事件的主动狩猎。
首小时分流按顺序做三件事：确定主体、拉取近期活动、先保全再遏制。可用命令包括 aws sts get-caller-identity、aws iam get-access-key-last-used --access-key-id AKIA...、aws cloudtrail lookup-events 等。
主要能力：CloudTrail 深度分析（区分 Event history 与 S3 日志桶，识别 userIdentity 类型与异常字段）；识别典型攻击者 API 模式（GetCallerIdentity、枚举、权限提升、iam:PassRole 滥用、信任策略篡改、STS 链）；持久化排查（新用户/密钥/角色、第二个访问密钥、登录配置文件、Lambda 后门、EventBridge 规则）；IMDS/SSRF 凭据窃取特征；GuardDuty 告警分类；数据窃取检测（S3 GetObject 激增、桶公开、快照共享、RDS 外泄）；反取证行为识别（StopLogging、DeleteTrail、PutEventSelectors、DeleteFlowLogs、DeleteDetector）；证据保全（EBS 快照、内存捕获、日志导出、标签与法律保留）；遏制与清除（停用而非删除密钥、用 AWSRevokeOlderSessions 内联策略撤销临时会话、轮换凭据、隔离安全组、清除持久化）。
限制与注意事项：需先确认日志是否启用（aws cloudtrail describe-trails、get-trail-status、get-event-selectors）；控制台 Event history 仅覆盖 90 天管理事件且不含数据事件；若无组织级独立日志桶，攻击者清理行为会造成盲区，应记为范围界定限制；GuardDuty 未告警不等于无事件，CloudTrail 时间线才是权威；仅轮换泄露密钥不足以清除持久化。工具的具体安装方式、定价或运行环境资料暂未提供。