mcpField
P
performing-cloud-forensics-with-aws-cloudtrail

performing-cloud-forensics-with-aws-cloudtrail

github.com/mukul975安全35.2k55 次安装8 周前更新
代码仓库

关于 performing-cloud-forensics-with-aws-cloudtrail

这是一份使用 AWS CloudTrail 调查云安全事件的取证指南，适用于响应团队分析可疑 API 调用和凭证泄露。指南说明如何查询日志、筛选异常活动、重建事件时间线并整理调查报告。

主要功能

  1. 01通过 boto3 查询 CloudTrail 事件
  2. 02使用 Athena 分析 S3 中的历史日志
  3. 03按用户代理、IP 和事件筛选
  4. 04重建攻击行为时间线
  5. 05检查数据访问与 IAM 变更
  6. 06整理取证报告

适用场景

  1. 01调查 AWS 账户疑似遭到入侵
  2. 02追查未经授权的 API 调用或凭证泄露
  3. 03分析 S3 数据外传和 IAM 权限提升
  4. 04根据 API 活动重建事件时间线

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill performing-cloud-forensics-with-aws-cloudtrail

安装后在 Claude Code 中输入/performing-cloud-forensics-with-aws-cloudtrail确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

使用 AWS CloudTrail 执行云取证

何时使用

  • 在调查疑似 AWS 账户被入侵时
  • 在检测到未授权的 API 调用或凭证泄露后
  • 在涉及云基础设施的事件响应期间
  • 在分析 S3 数据外泄或 IAM 权限提升时
  • 用于事件后的取证时间线重建

前提条件

  • 已启用 CloudTrail 的 AWS 账户（管理事件和数据事件）
  • cloudtrail:LookupEvents、s3:GetObject、athena:StartQueryExecution 的 IAM 权限
  • 已安装 boto3 Python SDK
  • CloudTrail 日志已投递到 S3，并可选配置了 Athena 表
  • 已使用适当凭证配置 AWS CLI

工作流

  1. 确定调查范围：确定时间范围、受影响的账户以及已泄露的凭证。
  2. 查询 CloudTrail：使用 boto3 lookup_events 或 Athena 检索相关 API 事件。
  3. 按指标筛选：搜索可疑的用户代理、源 IP 和事件名称。
  4. 重建时间线：根据 API 调用构建攻击者操作的时间顺序。
  5. 分析访问模式：识别数据访问、IAM 变更和资源修改。
  6. 识别持久化：检查是否存在新的 IAM 用户、访问密钥、角色或 Lambda 函数。
  7. 生成报告：生成包含发现结果和修复步骤的取证时间线。

关键概念

概念描述
LookupEvents用于查询管理事件（最近 90 天）的 CloudTrail API
Athena 查询针对 S3 中 CloudTrail 日志的 SQL 查询，用于历史分析
用户代理分析识别工具特征（AWS CLI、SDK、控制台、自定义）
AccessKeyId按特定 IAM 访问密钥跟踪活动
EventNameAWS API 操作名称（例如 GetObject、CreateUser、AssumeRole）
sourceIPAddressAPI 调用的来源 IP，用于地理位置分析

工具与系统

工具用途
boto3 CloudTrail 客户端以编程方式查询 CloudTrail 事件
AWS Athena对 CloudTrail S3 日志进行基于 SQL 的分析
AWS CLI命令行 CloudTrail 查询
jq用于解析 CloudTrail 事件的 JSON 处理
CloudTrail Lake支持 SQL 查询的高级事件数据存储

输出格式

Forensic Report: AWS-IR-[DATE]-[SEQ]
Account: [AWS Account ID]
Timeframe: [Start] to [End]
Compromised Credentials: [Access Key IDs]
Suspicious Events: [Count]
Source IPs: [List of attacker IPs]
Actions Taken: [API calls by attacker]
Data Accessed: [S3 objects, secrets, etc.]
Persistence Mechanisms: [New users, keys, roles]

评论

支持 Markdown