Cloudtrail

detecting-s3-data-exfiltration-attempts 可通过关联 CloudTrail S3 data events、GuardDuty findings、Amazon Macie alerts 和 S3 访问模式，帮助排查可能的 AWS S3 数据窃取行为。适用于安全审计、事件响应，以及可疑批量下载分析。

analyzing-cloud-storage-access-patterns 帮助安全团队在 AWS S3、GCS 和 Azure Blob Storage 中发现可疑的云存储访问行为。它会分析审计日志，识别批量下载、新来源 IP、异常 API 调用、桶枚举、非工作时间访问，以及基于基线和异常检测发现的潜在数据外传。

detecting-compromised-cloud-credentials 是一项面向 AWS、Azure 和 GCP 的云安全技能，可帮助确认凭据滥用、追踪异常 API 活动、调查不可能旅行和可疑登录，并借助各云厂商遥测与告警来界定事件影响范围。

detecting-aws-cloudtrail-anomalies 用于分析 AWS CloudTrail 活动，识别异常 API 来源、首次出现的操作、高频调用，以及与凭证泄露或权限提升相关的可疑行为。适合结合 boto3、基线分析和事件字段分析来做结构化异常检测。

aws-cost-operations 是一款用于 AWS 成本与运维的技能，可帮助估算费用、查看账单、监控 CloudWatch、检查 CloudTrail，并为运维决策提供建议。它尤其适合需要经过验证的 AWS 事实和可直接用于决策输出的财务、FinOps、平台团队和运维人员。