‏TrailTool: CloudTrail هوشمند برای عصر AI Agentها

اگه روی امنیت AWS کار می‌کنی، احتمالاً با CloudTrail رابطه عشق-نفرت داری. از یه طرف گنجینه‌ای از اطلاعات حسابرسی و امنیتیه، از طرف دیگه تبابایت لاگ داری که کوئری زدن روشون کابوسه. حالا که AI Agentها مثل Claude وارد گود شدن، این مشکل بزرگ‌تر شده چون هر کوئری اشتباه توکن می‌سوزونه و context window رو پر می‌کنه.

TrailTool برای حل همین مشکل ساخته شده. ایده اصلیش اینه که با یه Lambda (Ingestor) لاگ‌های CloudTrail رو پردازش کنه و نتایج رو توی DynamoDB کش کنه. بعد رویدادها رو بر اساس موجودیت‌هایی مثل افراد (People)، نشست‌ها (Sessions)، رول‌ها (Roles)، سرویس‌ها و منابع گروه‌بندی می‌کنه. نتیجه؟ وقتی agent می‌پرسه «این رول به چه چیزی دسترسی داشته؟» جواب سریع و قابل اعتماد می‌گیره.

کاربرد اول: شناسایی ClickOps ClickOps یعنی کسی مستقیم از Console AWS چیزی ساخته یا تغییر داده، بدون IaC و change control. TrailTool ترافیک مرورگر رو فیلتر می‌کنه، اکشن‌های mutating رو پیدا می‌کنه و همه چیز رو به تفکیک کاربر، سرویس و ریجن دسته‌بندی می‌کنه. با یه پرامپت می‌شه گفت Claude این منابع رو پیدا کنه و مستقیم import به Terraform بکنه.

کاربرد دوم: سیاست‌های least-privilege برای IAM همه می‌دونن باید دسترسی‌ها رو محدود کرد، ولی چطور بفهمیم کدوم permission واقعاً استفاده می‌شه؟ TrailTool لاگ‌ها رو در سطح session تحلیل می‌کنه و با استفاده از نگاشت‌های ابزار iamlive، اون‌ها رو به اکشن‌های IAM تبدیل می‌کنه. یه agent می‌تونه این تحلیل رو بگیره و یه policy بهینه‌شده تولید کنه.

کاربرد سوم: پاسخ به خطاهای AccessDenied وقتی یه رول شروع به انداختن خطای AccessDenied می‌کنه، معنیش اینه که یه نفر سعی کرده کار قانونی بکنه و نشده. به جای اینکه developer بره تیکت باز کنه، agent می‌تونه خطاها رو شناسایی کنه، permission لازم رو تشخیص بده و یه PR آماده merge تولید کنه.

کاربرد چهارم: بررسی break-glass access وقتی کسی دسترسی اضطراری می‌گیره با یه توجیه کوتاه، چطور می‌فهمیم واقعاً همون کار رو کرده؟ TrailTool اجازه می‌ده کل session رو در سطح بالا خلاصه کنی و با توجیه اعلام‌شده مقایسه کنی. مثلاً اگه کسی گفته «داشتم یه incident رو بررسی می‌کردم»، agent می‌تونه بررسی کنه آیا واقعاً همین کار رو کرده یا چیز دیگه‌ای.

TrailTool متن‌باز هست و از طریق SAM روی حساب AWS خودت deploy می‌شه. یه CLI هم داره که با credential استاندارد AWS کار می‌کنه. نسخه hosted اون هم روی trailtool.io در دسترسه.

نکات کلیدی:

• TrailTool لاگ‌های CloudTrail رو پردازش و کش می‌کنه تا AI Agentها سریع‌تر و ارزان‌تر جواب بگیرن
• رویدادها رو به موجودیت‌هایی مثل People، Sessions، Roles و Resources تبدیل می‌کنه
• چهار کاربرد اصلی: شناسایی ClickOps، تولید سیاست least-privilege، پاسخ به AccessDenied، بررسی break-glass
• از iamlive برای تبدیل لاگ‌ها به اکشن‌های IAM استفاده می‌کنه
• متن‌باز، deploy با AWS SAM، و نسخه hosted هم دارد