mcpField
A
analyzing-cloud-storage-access-patterns

analyzing-cloud-storage-access-patterns

github.com/mukul975安全35.2k566 次安装8 周前更新
代码仓库

关于 analyzing-cloud-storage-access-patterns

用于云安全调查和 SOC 分析的技能，指导基于 AWS CloudTrail S3 数据事件建立访问基线、识别异常并生成优先级报告。

主要功能

  1. 01查询 S3 数据事件
  2. 02建立访问行为基线
  3. 03检测非工作时间访问
  4. 04识别批量下载和新 IP
  5. 05生成优先级发现报告

适用场景

  1. 01调查 S3 存储访问安全事件
  2. 02构建访问异常检测规则
  3. 03验证云存储监控覆盖

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-cloud-storage-access-patterns

安装后在 Claude Code 中输入/analyzing-cloud-storage-access-patterns确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

分析云存储访问模式

何时使用

  • 在调查需要分析云存储访问模式的安全事件时
  • 在为该领域构建检测规则或威胁狩猎查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 在验证相关攻击技术的安全监控覆盖范围时

前置条件

  • 熟悉云安全概念和工具
  • 可访问测试或实验环境以安全执行
  • 已安装所需依赖的 Python 3.8+
  • 任何测试活动均需获得适当授权

操作说明

  1. 安装依赖：pip install boto3 requests
  2. 使用 AWS CLI 或 boto3 查询 CloudTrail 中的 S3 数据事件。
  3. 构建访问基线：每小时请求量、每用户对象数量、源 IP 历史记录。
  4. 检测异常：
    • 非工作时间访问（本地时间上午 8 点至下午 6 点之外）
    • 批量下载：单个主体在 1 小时内超过 100 次 GetObject 调用
    • 过去 30 天内未出现过的新源 IP
    • ListBucket 枚举激增（侦察指标）
  5. 生成按优先级排序的发现报告。
python scripts/agent.py --bucket my-sensitive-data --hours-back 24 --output s3_access_report.json

示例

CloudTrail S3 数据事件
{"eventName": "GetObject", "requestParameters": {"bucketName": "sensitive-data", "key": "financials/q4.xlsx"},
 "sourceIPAddress": "203.0.113.50", "userIdentity": {"arn": "arn:aws:iam::123456789012:user/analyst"}}

评论

支持 Markdown