detecting-aws-cloudtrail-anomalies
Ajuda seu agente a identificar atividades suspeitas em logs da AWS CloudTrail, como acesso não autorizado ou roubo de credenciais.
O que ela faz
Esta ferramenta ajuda a encontrar atividades estranhas nos registros de chamadas da sua conta AWS. Ela procura por padrões incomuns que podem indicar que suas credenciais foram comprometidas ou que alguém está acessando recursos sem permissão.
Quando usar
- ✓Quando você suspeita que suas credenciais da AWS foram roubadas.
- ✓Para investigar acessos não autorizados a recursos na AWS.
- ✓Ao criar sistemas de alerta para atividades de segurança na AWS.
Exemplo do que pedir para a IA
“Procure por atividades suspeitas nos registros da AWS das últimas 24 horas.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A ferramenta primeiro coleta todas as chamadas de API recentes da AWS. Em seguida, ela aprende o que é um comportamento normal, observando quem faz o quê, de onde e com que frequência. Finalmente, ela compara as atividades atuais com o comportamento normal para encontrar e relatar qualquer coisa fora do comum.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-aws-cloudtrail-anomaliesOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/detecting-aws-cloudtrail-anomalies/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Detectando Anomalias no AWS CloudTrail
Visão Geral
O AWS CloudTrail registra chamadas de API em todos os serviços da AWS. Esta habilidade abrange a consulta de eventos do CloudTrail com a API lookup_events do boto3, a construção de linhas de base estatísticas de atividade normal de API, a detecção de anomalias como fontes de eventos incomuns, anomalias geográficas, chamadas de API de alta frequência e padrões de uso de API pela primeira vez que indicam credenciais comprometidas ou ameaças internas.
Quando Usar
- Ao investigar incidentes de segurança que exigem a detecção de anomalias no AWS CloudTrail.
- Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
- Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
- Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.
Pré-requisitos
- Python 3.9+ com a biblioteca
boto3. - Credenciais da AWS com permissões de leitura do CloudTrail (cloudtrail:LookupEvents).
- Compreensão de AWS IAM e padrões comuns de API.
- CloudTrail habilitado na conta AWS de destino (eventos de gerenciamento no mínimo).
Passos
Passo 1: Consultar Eventos do CloudTrail
Use o método lookup_events do cliente CloudTrail do boto3 para recuperar a atividade recente de API com paginação.
Passo 2: Construir Linha de Base de Atividade
Agregue eventos por usuário, IP de origem, fonte do evento e nome do evento para estabelecer padrões de comportamento normal.
Passo 3: Detectar Anomalias
Marque padrões incomuns: novas fontes de eventos por usuário, chamadas de API pela primeira vez, mudanças geográficas de IP, altas taxas de erro e uso de API sensíveis (alterações de políticas IAM, KMS, S3).
Passo 4: Gerar Relatório de Detecção
Produza um relatório JSON com pontuações de anomalia, principais usuários suspeitos e ações de investigação recomendadas.
Saída Esperada
Relatório JSON com estatísticas de eventos, desvios da linha de base, usuários/IPs anômalos, chamadas de API sensíveis e análise da taxa de erros.
Perguntas frequentes
O que são 'chamadas de API' na AWS?
São os comandos que você ou outros serviços enviam para interagir com os serviços da AWS, como criar um servidor ou armazenar um arquivo.
O que significa 'baseline'?
Baseline é um registro do comportamento normal. É como criar um perfil do que é típico para que possamos identificar o que é atípico.
Quais tipos de problemas essa ferramenta pode detectar?
Ela pode detectar o uso de credenciais roubadas, tentativas de obter mais permissões do que o normal (escalonamento de privilégios) e acesso não autorizado a recursos.
Detalhes
Descrição original do autor
Detect unusual API call patterns in AWS CloudTrail logs using boto3, statistical baselining, and behavioral analysis to identify credential compromise, privilege escalation, and unauthorized resource access.
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #5634
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
agent-architecture-audit
Faz seu agente verificar se tudo está funcionando corretamente. Ele encontra e conserta problemas em sistemas de IA, garantindo que funcionem como esperado.
affaan-m/ECC
agent-eval
Ajuda seu agente a comparar diferentes ferramentas de programação de IA. Ele mede qual é mais rápido, barato e confiável para realizar tarefas específicas.
affaan-m/ECC
agent-harness-construction
Faz seu agente entender melhor como realizar tarefas. Ele otimiza as ferramentas e instruções que o agente usa para aumentar suas chances de sucesso.
affaan-m/ECC