雲端儲存存取模式分析

雲端儲存存取模式分析 是做什麼的？

使用時機

• 調查涉及雲端儲存存取模式的安全事件時
• 建置此領域的偵測規則或威脅狩獵查詢時
• SOC 分析師需要此分析類型的結構化程序時
• 驗證相關攻擊技術的安全監控覆蓋範圍時

先決條件

• 熟悉雲端安全概念與工具
• 可存取測試或實驗室環境以安全執行
• Python 3.8+ 並安裝所需依賴套件
• 對任何測試活動具備適當授權

操作說明

1. 安裝相依套件：pip install boto3 requests
2. 使用 AWS CLI 或 boto3 查詢 S3 資料事件的 CloudTrail 日誌。
3. 建立存取基線：每小時請求量、每位使用者物件計數、來源 IP 歷史。
4. 偵測異常：
   • 非營業時間存取（當地時間上午 8 點至下午 6 點之外）
   • 大量下載：單一主體在 1 小時內發出超過 100 次 GetObject 呼叫
   • 過去 30 天未見過的新來源 IP
   • ListBucket 列舉高峰（偵察指標）
5. 產生優先排序的發現報告。

python scripts/agent.py --bucket my-sensitive-data --hours-back 24 --output s3_access_report.json

範例

CloudTrail S3 資料事件

{"eventName": "GetObject", "requestParameters": {"bucketName": "sensitive-data", "key": "financials/q4.xlsx"},
 "sourceIPAddress": "203.0.113.50", "userIdentity": {"arn": "arn:aws:iam::123456789012:user/analyst"}}