关于 detecting-aws-cloudtrail-anomalies
面向 SOC 分析师和安全团队的技能指南，使用 boto3 查询 AWS CloudTrail 事件并建立活动基线，以识别异常 API 行为。它将可疑用户、IP 和敏感操作整理为 JSON 调查报告。
主要功能
- 01通过 boto3 查询 CloudTrail 事件
- 02按用户和 API 活动建立基线
- 03检测地理位置和频率异常
- 04识别首次调用及敏感 API 操作
- 05生成包含异常评分的 JSON 报告
适用场景
- 01调查 AWS 凭证可能遭到滥用的事件
- 02为威胁狩猎建立 CloudTrail 检测流程
- 03检查 AWS 安全监控覆盖情况
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/detecting-aws-cloudtrail-anomalies确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEreferences/api-reference.mdscripts/agent.py详细介绍
检测 AWS CloudTrail 异常
概述
AWS CloudTrail 会记录跨 AWS 服务的 API 调用。本技能涵盖使用 boto3 的 lookup_events API 查询 CloudTrail 事件，构建正常 API 活动的统计基线，检测异常，例如不寻常的事件源、地理异常、高频 API 调用，以及首次出现的 API 使用模式，这些模式可能表明凭证泄露或内部威胁。
何时使用
- 当调查需要检测 aws cloudtrail 异常的安全事件时
- 当为该领域构建检测规则或威胁狩猎查询时
- 当 SOC 分析师需要针对此类分析的结构化流程时
- 当验证相关攻击技术的安全监控覆盖范围时
先决条件
- Python 3.9+，并带有
boto3库 - 具有 CloudTrail 读取权限（cloudtrail:LookupEvents）的 AWS 凭证
- 了解 AWS IAM 和常见 API 模式
- 在目标 AWS 账户中启用 CloudTrail（至少管理事件）
步骤
步骤 1：查询 CloudTrail 事件
使用 boto3 CloudTrail 客户端的 lookup_events 通过分页检索最近的 API 活动。
步骤 2：构建活动基线
按用户、源 IP、事件源和事件名称聚合事件，以建立正常行为模式。
步骤 3：检测异常
标记异常模式：每个用户的新事件源、首次 API 调用、地理 IP 变化、高错误率，以及敏感 API 使用（IAM、KMS、S3 策略更改）。
步骤 4：生成检测报告
生成一份 JSON 报告，包含异常评分、最可疑用户和建议的调查操作。
预期输出
包含事件统计、基线偏差、异常用户/IP、敏感 API 调用和错误率分析的 JSON 报告。
评论
支持 Markdown