云存储异常访问检测：用审计日志与统计基线发现数据外泄

当需要调查疑似云数据外泄或构建云存储访问异常检测规则时，通过分析 AWS S3、GCS、Azure Blob 的访问日志建立基线并识别异常行为。

适用场景

解决思路

1. 安装依赖：执行 `pip install boto3 requests`，用于调用云 API 和处理日志数据。
2. 通过 AWS CLI 或 boto3 查询 CloudTrail 中的 S3 Data Events（数据事件），获取对象级访问记录。
3. 构建访问基线：统计每小时请求量、每个用户的对象访问数量、来源 IP 历史记录。
4. 检测异常行为：识别非工作时间访问（本地时间 8:00-18:00 之外）。
5. 检测异常行为：识别批量下载，即单一主体在 1 小时内超过 100 次 GetObject 调用。
6. 检测异常行为：识别过去 30 天内未出现过的新来源 IP。
7. 检测异常行为：识别 ListBucket 枚举激增（侦察行为指标）。
8. 生成按优先级排序的发现报告，例如运行 `python scripts/agent.py --bucket my-sensitive-data --hours-back 24 --output s3_access_report.json`。

适用边界 · 注意事项

• 没有获得对目标云存储日志的合法访问授权时。
• 缺乏可用的审计日志（如未启用 CloudTrail Data Events、GCS 审计日志或 Azure Storage Analytics）时无法分析。