AWS CloudTrail 日志标准化工具

解决什么问题

CloudTrail 的原始 JSON 事件虽然适合审计，但字段结构、命名和粒度并不总是方便安全分析。eventSource 与 eventName 必须结合用户身份、来源 IP、目标资源和请求结果才能理解，MITRE ATT&CK 归类也常依赖人工查表。若把这些原始记录直接交给 SIEM 或其他平台，证据虽然保留，但标准化和富化工作仍要由下游承担。

它如何工作

• 解析 CloudTrail JSON 事件，提取 eventTime、eventSource、eventName、userIdentity、sourceIPAddress、resources 等关键字段。
• 将时间、身份、地址和资源信息整理为 OCSF 可表达的规范化对象，减少不同系统对同名字段的理解差异。
• 保留事件上下文，例如调用方是谁、操作了哪个资源、请求是否成功。
• 调用 MITRE ATT&CK STIX API，使用 eventSource/eventName 查询映射，得到对应的 ATT&CK 技术 ID。
• 输出规范化后的事件数据和 ATT&CK 映射，供日志平台、审计流程或威胁狩猎使用。

适用边界

• 仅处理 AWS CloudTrail JSON 日志，不负责 GuardDuty findings、Network Firewall logs、VPC Flow Logs 等其他数据源的解析。
• ATT&CK 映射质量取决于 STIX API 中是否包含对应 eventSource/eventName；未命中时应保留原始字段，不应强行归因。
• 该技能负责标准化与富化，不负责生成告警规则、风险评分或替代分析师判断。
• 输出可能包含用户、IP 和资源标识，共享前仍需按数据治理要求进行检查。