mcpField
D
detecting-aws-cloudtrail-anomalies

detecting-aws-cloudtrail-anomalies

github.com/mukul975セキュリティ35.2k85 回インストール8 週間前に更新
リポジトリ

detecting-aws-cloudtrail-anomalies について

SOCアナリストやセキュリティチーム向けに、boto3でAWS CloudTrailのイベントを検索し、活動ベースラインから異常なAPI利用を検出するスキルガイドです。不審なユーザーやIP、機密性の高い操作をJSON調査レポートにまとめます。

主な機能

  1. 01boto3によるCloudTrailイベント検索
  2. 02ユーザー別・API別の活動ベースライン作成
  3. 03地域や頻度の異常検出
  4. 04初回利用や機密性の高いAPI呼び出しの特定
  5. 05異常スコア付きJSONレポートの作成

活用シーン

  1. 01AWS認証情報の不正利用が疑われる事案の調査
  2. 02CloudTrailを使った脅威ハンティング手順の構築
  3. 03AWSセキュリティ監視範囲の確認

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill detecting-aws-cloudtrail-anomalies

インストール後、Claude Code で/detecting-aws-cloudtrail-anomaliesを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
references/
api-reference.md
scripts/
agent.py

詳細

AWS CloudTrail の異常を検出する

概要

AWS CloudTrail は、AWS サービス全体の API 呼び出しを記録します。このスキルでは、boto3 の lookup_events API を使用した CloudTrail イベントのクエリ、通常の API アクティビティに関する統計的なベースラインの構築、通常とは異なるイベントソース、地理的な異常、高頻度の API 呼び出し、侵害された認証情報や内部脅威を示す初回の API 使用パターンなどの異常の検出について説明します。

使用する場面

  • AWS CloudTrail の異常を検出する必要があるセキュリティインシデントを調査する場合
  • この領域の検出ルールや脅威ハンティング用クエリを構築する場合
  • SOC アナリストが、この種の分析に関する体系的な手順を必要とする場合
  • 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証する場合

前提条件

  • boto3 ライブラリを含む Python 3.9 以降
  • CloudTrail の読み取り権限（cloudtrail:LookupEvents）を持つ AWS 認証情報
  • AWS IAM と一般的な API パターンに関する理解
  • 対象の AWS アカウントで CloudTrail が有効になっていること（少なくとも管理イベント）

手順

ステップ 1：CloudTrail イベントをクエリする

boto3 CloudTrail クライアントの lookup_events を使用し、ページネーションで最近の API アクティビティを取得します。

ステップ 2：アクティビティのベースラインを構築する

ユーザー、送信元 IP、イベントソース、イベント名ごとにイベントを集計し、通常の動作パターンを確立します。

ステップ 3：異常を検出する

ユーザーごとの新しいイベントソース、初回の API 呼び出し、地理的な IP の変化、高いエラー率、機密性の高い API の使用（IAM、KMS、S3 ポリシーの変更）など、通常とは異なるパターンを検出します。

ステップ 4：検出レポートを生成する

異常スコア、疑わしいユーザーの上位一覧、推奨される調査アクションを含む JSON レポートを生成します。

期待される出力

イベント統計、ベースラインからの逸脱、異常なユーザー／IP、機密性の高い API 呼び出し、エラー率の分析を含む JSON レポート。

コメント

Markdown 対応