AbhinavVijayvergia/Cloud-Trail-Detector
GitHub: AbhinavVijayvergia/Cloud-Trail-Detector
一个基于 AWS CloudTrail 日志的检测即代码流水线，通过 YAML 规则与 MITRE ATT&CK 映射，结合 GitHub Actions CI 实现检测规则的自动化验证与覆盖率可视化。
Stars: 0 | Forks: 0
# Cloud-Trail-Detector
[](https://github.com/AbhinavVijayvergia/Cloud-Trail-Detector/actions)
## 项目简介
一个检测工程 pipeline，具备以下功能：
- 接收 **AWS CloudTrail** JSON 日志（模拟的真实事件）
- 评估 **YAML 定义的检测规则**，每条规则均映射到一种 **MITRE ATT&CK** 技术
- 通过 **GitHub Actions CI** 针对模拟攻击场景**自动验证**每条规则
- 通过调优层来衡量并减少 **false positives**
- 生成 **ATT&CK 覆盖率仪表板**，展示检测覆盖率与置信度
完全基于 AWS 免费套餐构建。无任何付费基础设施。
## 架构
*架构图将在 Phase 4 中添加。*
## 工具与版本
| 工具 | 版本 | 用途 |
|------|---------|---------|
| Python | 3.10+ | 检测引擎、日志生成器、测试 |
| PyYAML | latest | 解析 YAML 检测规则 |
| GitHub Actions | N/A | 用于规则验证的 CI/CD pipeline |
| AWS CloudTrail | N/A | 日志格式（模拟，非实时） |
| MITRE ATT&CK | v15 | 技术映射框架 |
## 仓库结构
```
Cloud-Trail-Detector/
├── detection_engine/ # Core engine — loads rules, evaluates logs
├── rules/ # YAML detection rules (1 per ATT&CK technique)
├── log_generator/ # Generates simulated CloudTrail JSON logs
├── tests/test_logs/ # CI test cases — attack + benign logs per rule
├── tuning/ # False-positive allowlists and suppression config
├── coverage/ # Auto-generated ATT&CK coverage dashboard
├── screenshots/ # Evidence screenshots for README
├── docs/investigations/ # Per-technique investigation write-ups
└── .github/workflows/ # GitHub Actions CI pipeline
```
## 检测规则
| # | ATT&CK ID | 技术 | 规则文件 | 严重程度 |
|---|-----------|-----------|-----------|----------|
| 1 | T1078 | Valid Accounts | `t1078_iam_key_creation.yml` | 高 |
| 2 | T1530 | Data from Cloud Storage Object | `t1530_s3_enumeration.yml` | 中 |
| 3 | T1548 | Abuse Elevation Control Mechanism | `t1548_role_assumption.yml` | 高 |
## 结果
*结果将在各阶段完成后填充。*
## 如何运行
**要求**：Python 3.10+，PyYAML
```
# 安装 dependencies
pip install -r requirements.txt
# 生成模拟攻击日志
python -m log_generator.generate
# 针对所有测试日志运行检测引擎
python -m detection_engine.engine
---
## 覆盖率 Dashboard
See [COVERAGE.md](coverage/COVERAGE.md) for the full ATT&CK technique coverage matrix.
---
## 项目日志
See [PROJECT_LOG.md](PROJECT_LOG.md) for dated build progress.
---
## 作者
**Abhinav Vijayvergia**
- GitHub: [@AbhinavVijayvergia](https://github.com/AbhinavVijayvergia)
```
标签：AWS CloudTrail, Cloudflare, GitHub Actions, MITRE ATT&CK, YAML, 安全, 安全库, 恶意代码分类, 自动笔记, 超时处理, 逆向工具