performing-cloud-forensics-with-aws-cloudtrail
Ajuda seu agente a investigar invasões em contas AWS. Ele analisa registros de atividades para entender o que um invasor fez e quando.
O que ela faz
Esta ferramenta ajuda a investigar se alguém invadiu sua conta na nuvem da Amazon (AWS). Ela procura por atividades suspeitas, como chamadas de API não autorizadas, para entender o que aconteceu e quem fez.
Quando usar
- ✓Quando você suspeita que sua conta AWS foi invadida.
- ✓Após notar atividades estranhas ou acessos não permitidos.
- ✓Para entender como um invasor agiu dentro da sua conta.
Exemplo do que pedir para a IA
“Investigue minha conta AWS por atividades suspeitas entre ontem e hoje.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A ferramenta consulta os registros de atividades da sua conta AWS (CloudTrail). Ela procura por padrões incomuns, como acessos de locais estranhos ou ações que não deveriam ter acontecido, para montar uma linha do tempo do ataque.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill performing-cloud-forensics-with-aws-cloudtrailOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/performing-cloud-forensics-with-aws-cloudtrail/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Realizando Forense na Nuvem com AWS CloudTrail
Quando Usar
- Ao investigar suspeita de comprometimento da conta AWS
- Após detectar chamadas de API não autorizadas ou exposição de credenciais
- Durante a resposta a incidentes envolvendo infraestrutura de nuvem
- Ao analisar exfiltração de dados S3 ou escalonamento de privilégios IAM
- Para reconstrução de linha do tempo forense pós-incidente
Pré-requisitos
- Conta AWS com CloudTrail habilitado (eventos de gerenciamento e de dados)
- Permissões IAM para
cloudtrail:LookupEvents,s3:GetObject,athena:StartQueryExecution - SDK Python boto3 instalado
- Logs do CloudTrail entregues no S3 com tabela Athena opcional configurada
- AWS CLI configurado com credenciais apropriadas
Fluxo de Trabalho
- Escopo da Investigação: Identifique o período de tempo, contas afetadas e credenciais comprometidas.
- Consultar CloudTrail: Use
lookup_eventsdo boto3 ou Athena para recuperar eventos de API relevantes. - Filtrar por Indicadores: Procure por user agents, IPs de origem e nomes de eventos suspeitos.
- Reconstruir Linha do Tempo: Crie uma sequência cronológica das ações do atacante a partir das chamadas de API.
- Analisar Padrões de Acesso: Identifique acesso a dados, alterações no IAM e modificações de recursos.
- Identificar Persistência: Verifique novos usuários IAM, chaves de acesso, roles ou funções Lambda.
- Gerar Relatório: Produza uma linha do tempo forense com descobertas e passos de remediação.
Conceitos Chave
| Conceito | Descrição |
|---|---|
| LookupEvents | API do CloudTrail para consultar eventos de gerenciamento (últimos 90 dias) |
| Consultas Athena | Consultas SQL contra logs do CloudTrail no S3 para análise histórica |
| Análise de User Agent | Identifique assinaturas de ferramentas (AWS CLI, SDK, console, customizadas) |
| AccessKeyId | Rastreie atividade por chave de acesso IAM específica |
| EventName | Nome da ação da API AWS (ex: GetObject, CreateUser, AssumeRole) |
| sourceIPAddress | IP de origem da chamada de API para análise de geolocalização |
Ferramentas & Sistemas
| Ferramenta | Propósito |
|---|---|
| Cliente CloudTrail boto3 | Consulta programática de eventos do CloudTrail |
| AWS Athena | Análise baseada em SQL de logs do CloudTrail no S3 |
| AWS CLI | Consultas do CloudTrail via linha de comando |
| jq | Processamento JSON para análise de eventos do CloudTrail |
| CloudTrail Lake | Armazenamento avançado de dados de eventos com suporte a consultas SQL |
Formato de Saída
Forensic Report: AWS-IR-[DATE]-[SEQ]
Account: [AWS Account ID]
Timeframe: [Start] to [End]
Compromised Credentials: [Access Key IDs]
Suspicious Events: [Count]
Source IPs: [List of attacker IPs]
Actions Taken: [API calls by attacker]
Data Accessed: [S3 objects, secrets, etc.]
Persistence Mechanisms: [New users, keys, roles]
Perguntas frequentes
O que são registros do CloudTrail?
São como um diário de tudo o que acontece na sua conta AWS, registrando quem fez o quê e quando.
O que são 'chamadas de API'?
São os comandos que os programas usam para interagir com os serviços da AWS. Um invasor pode usar esses comandos para fazer coisas ruins.
Preciso saber programar para usar isso?
Não, esta ferramenta é feita para ser usada por pessoas que não programam. Você só precisa pedir para investigar sua conta.
Detalhes
Descrição original do autor
Investigate AWS account compromise by querying CloudTrail with boto3's LookupEvents or AWS Athena SQL over S3-delivered logs, filtering on suspicious user agents, source IPs, and event names to reconstruct an attacker timeline. Use when tracing unauthorized API calls, S3 data exfiltration, IAM privilege escalation, or credential exposure, and building a forensic report of findings and remediation
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #6037
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
django-security
Ajuda seu agente a implementar práticas de segurança em aplicações Django. Ele foca em autenticação, autorização e prevenção contra ataques comuns, garantindo um código mais seguro.
affaan-m/ECC
laravel-security
Ajuda seu agente a proteger aplicações Laravel contra ameaças. Implementa práticas de segurança para autenticação, autorização e prevenção de ataques comuns.
affaan-m/ECC
module-regression
Ajuda seu agente a gerenciar mudanças em projetos grandes. Garante que alterações em uma parte do código não quebrem outras partes.
affaan-m/ECC