hayabusa
v2.18.0 ?
Hayabusa est un générateur de chronologie d'investigation rapide de journaux d'événements Windows et un outil de chasse aux menaces créé par le groupe Yamato Security au Japon. Hayabusa signifie « faucon pèlerin » en japonais et a été choisi car les faucons pèlerins sont les animaux les plus rapides du monde, excellents pour la chasse et faciles à dresser. Il est écrit en Rust et supporte le multi-threading afin d'être le plus rapide possible. Nous avons fourni un outil pour convertir les règles Sigma au format de règles Hayabusa. Les règles de détection Hayabusa compatibles Sigma sont écrites en YML afin d'être aussi facilement personnalisables et extensibles que possible. Hayabusa peut être exécuté soit sur un seul système en cours d'exécution pour une analyse en direct, en collectant les journaux d'un ou de plusieurs systèmes pour une analyse hors ligne, ou en exécutant l'artefact Hayabusa avec Velociraptor pour la recherche de menaces et la réponse aux incidents à l'échelle de l'entreprise. La sortie sera consolidée dans une seule chronologie CSV pour une analyse facile dans LibreOffice, Timeline Explorer, Elastic Stack, Timesketch, etc...
evtx .-T )-H )-M )computer-metricscomputer-metricscomputer-metricseid-metricseid-metricseid-metricseid-metricslogon-summarylogon-summarylogon-summarypivot-keywords-listpivot-keywords-listpivot-keywords-listsearchsearchsearch les fichiers de configuration de la commandecsv-timelinecsv-timelinecsv-timelinejson-timelinejson-timeline et fichiers de configurationlevel-tuninglevel-tuninglevel-tuninglist-profilesset-default-profileset-default-profileupdate-rulesupdate-rulesminimalstandardverboseall-field-infoall-field-info-verbosesuper-verbosetimesketch-minimaltimesketch-verboseHayabusa dispose actuellement de plus de 4 000 règles Sigma et de plus de 170 règles de détection intégrées Hayabusa, d'autres règles étant ajoutées régulièrement. Il peut être utilisé gratuitement pour la chasse proactive aux menaces à l'échelle de l'entreprise ainsi que pour le DFIR (Digital Forensics and Incident Response) avec l'artefact Hayabusa de Velociraptor. En combinant ces deux outils open source, vous pouvez essentiellement reproduire rétroactivement un SIEM lorsqu'il n'y a pas de configuration SIEM dans l'environnement. Vous pouvez apprendre comment procéder en regardant la procédure pas à pas du Velociraptor d'Eric Capuano ici.
L'analyse des journaux d'événements Windows est traditionnellement un processus très long et fastidieux, car les journaux d'événements Windows sont 1) dans un format de données difficile à analyser et 2) la majorité des données sont du bruit et ne sont pas utiles pour les enquêtes. L'objectif de Hayabusa est d'extraire uniquement les données utiles et de les présenter dans un format aussi concis que possible, facile à lire et utilisable non seulement par des analystes professionnellement formés, mais aussi par tout administrateur système Windows. Hayabusa espère permettre aux analystes d'effectuer 80 % de leur travail en 20 % du temps par rapport à l'analyse traditionnelle des journaux d'événements Windows.
-T ) 
-H ) 
-M ) 
Vous pouvez apprendre à analyser les chronologies CSV dans Excel et Timeline Explorer ici.
Vous pouvez apprendre à importer des fichiers CSV dans Elastic Stack ici.
Vous pouvez apprendre comment importer des fichiers CSV dans Timesketch ici.
Vous pouvez apprendre à analyser les résultats au format JSON avec jq ici.
|equalsfield et |endswithfield .0xc0000234 -> ACCOUNT LOCKED )Veuillez télécharger la dernière version stable de Hayabusa avec les binaires compilés ou compiler le code source à partir de la page Releases.
Nous fournissons des binaires pour les architectures suivantes :
hayabusa-xxx-lin-aarch64-gnu )hayabusa-xxx-lin-x64-gnu )hayabusa-xxx-lin-x64-musl )hayabusa-xxx-mac-aarch64 )hayabusa-xxx-mac-x64 )hayabusa-xxx-win-aarch64.exe )hayabusa-xxx-win-x64.exe )hayabusa-xxx-win-x86.exe )Pour une raison quelconque, le binaire Linux ARM MUSL ne fonctionne pas correctement, nous ne fournissons donc pas ce binaire. C'est hors de notre contrôle, nous prévoyons donc de le fournir à l'avenir lorsqu'il sera réparé.
Depuis la version 2.18.0, nous fournissons des packages Windows spéciaux qui utilisent des règles codées XOR fournies dans un seul fichier ainsi que tous les fichiers de configuration combinés dans un seul fichier (hébergé dans le référentiel hayabusa-encoded-rules). Téléchargez simplement les packages zip avec live-response dans le nom. Les fichiers zip ne comprennent que trois fichiers : le binaire Hayabusa, le fichier de règles codées XOR et le fichier de configuration. Le but de ces packages de réponse en direct est lors de l'exécution de Hayabusa sur les points de terminaison clients, nous voulons nous assurer que les analyseurs antivirus comme Windows Defender ne donnent pas de faux positifs sur les fichiers de règles .yml . Nous souhaitons également minimiser la quantité de fichiers écrits sur le système afin que les artefacts médico-légaux tels que le USN Journal ne soient pas écrasés.
Vous pouvez git clone le référentiel avec la commande suivante et compiler le binaire à partir du code source :
Attention : la branche principale du référentiel est destinée à des fins de développement. Vous pourrez donc peut-être accéder à de nouvelles fonctionnalités qui ne sont pas encore officiellement publiées. Cependant, il peut y avoir des bugs, alors considérez-le comme instable.
git clone https://github.com/Yamato-Security/hayabusa.git --recursiveRemarque : Si vous oubliez d'utiliser l'option --recursive, le dossier
rules, qui est géré en tant que sous-module git, ne sera pas cloné.
Vous pouvez synchroniser le dossier rules et obtenir les dernières règles Hayabusa avec git pull --recurse-submodules ou utiliser la commande suivante :
hayabusa.exe update-rules Si la mise à jour échoue, vous devrez peut-être renommer le dossier rules et réessayer.
Attention : lors de la mise à jour, les règles et les fichiers de configuration du dossier
rulessont remplacés par les dernières règles et fichiers de configuration du référentiel hayabusa-rules. Toutes les modifications que vous apportez aux fichiers existants seront écrasées. Nous vous recommandons donc de faire des sauvegardes de tous les fichiers que vous modifiez avant la mise à jour. Si vous effectuez un réglage de niveau aveclevel-tuning, veuillez réajuster vos fichiers de règles après chaque mise à jour. Si vous ajoutez de nouvelles règles dans le dossierrules, elles ne seront ni écrasées ni supprimées lors de la mise à jour.
Si Rust est installé, vous pouvez compiler à partir des sources avec la commande suivante :
Remarque : Pour compiler, vous avez généralement besoin de la dernière version de Rust.
cargo build --releaseVous pouvez télécharger la dernière version instable depuis la branche principale ou la dernière version stable depuis la page Releases.
Assurez-vous de mettre régulièrement à jour Rust avec :
rustup update stable Le binaire compilé sera affiché dans le dossier ./target/release .
Vous pouvez mettre à jour vers les dernières caisses Rust avant de compiler :
cargo updateS'il vous plaît laissez-nous savoir si quelque chose se casse après la mise à jour.
Vous pouvez créer des binaires 32 bits sur des systèmes Windows 64 bits avec les éléments suivants :
rustup install stable-i686-pc-windows-msvc
rustup target add i686-pc-windows-msvc
rustup run stable-i686-pc-windows-msvc cargo build --releaseAvertissement : assurez-vous d'exécuter
rustup install stable-i686-pc-windows-msvcchaque fois qu'il existe une nouvelle version stable de Rust, carrustup update stablene mettra pas à jour le compilateur pour la compilation croisée et vous pourriez recevoir des erreurs de construction.
Si vous recevez des erreurs de compilation concernant openssl, vous devrez installer Homebrew puis installer les packages suivants :
brew install pkg-config
brew install opensslSi vous recevez des erreurs de compilation concernant openssl, vous devrez installer le package suivant.
Distributions basées sur Ubuntu :
sudo apt install libssl-devDistributions basées sur Fedora :
sudo yum install openssl-develSur un système d'exploitation Linux, installez d'abord la cible.
rustup install stable-x86_64-unknown-linux-musl
rustup target add x86_64-unknown-linux-muslCompiler avec :
cargo build --release --target=x86_64-unknown-linux-muslAvertissement : assurez-vous d'exécuter
rustup install stable-x86_64-unknown-linux-muslchaque fois qu'il existe une nouvelle version stable de Rust, carrustup update stablene mettra pas à jour le compilateur pour la compilation croisée et vous pourriez recevoir des erreurs de construction.
Le binaire MUSL sera créé dans le répertoire ./target/x86_64-unknown-linux-musl/release/ . Les binaires MUSL sont environ 15 % plus lents que les binaires GNU, cependant, ils sont plus portables entre différentes versions et distributions de Linux.
Vous pouvez recevoir une alerte de produits antivirus ou EDR lorsque vous essayez d'exécuter hayabusa ou même simplement lors du téléchargement des règles .yml , car il y aura des mots-clés tels que mimikatz et des commandes PowerShell suspectes dans la signature de détection. Il s'agit de faux positifs et vous devrez donc configurer des exclusions dans vos produits de sécurité pour permettre à Hayabusa de s'exécuter. Si vous vous inquiétez des logiciels malveillants ou des attaques de la chaîne d'approvisionnement, veuillez vérifier le code source d'hayabusa et compiler les binaires vous-même.
Vous pouvez rencontrer un temps d'exécution lent, en particulier lors de la première exécution après un redémarrage, en raison de la protection en temps réel de Windows Defender. Vous pouvez éviter cela en désactivant temporairement la protection en temps réel ou en ajoutant une exclusion au répertoire d'exécution hayabusa. (Veuillez prendre en compte les risques de sécurité avant de procéder ainsi.)
Dans une invite de commande/PowerShell ou un terminal Windows, exécutez simplement le binaire Windows 32 bits ou 64 bits approprié.
Lorsque vous utilisez l'invite de commande ou PowerShell intégrée dans Windows, vous pouvez recevoir une erreur indiquant que Hayabusa n'a pas pu charger de fichiers .evtx s'il y a un espace dans le chemin de votre fichier ou de votre répertoire. Afin de charger correctement les fichiers .evtx, assurez-vous de procéder comme suit :
Vous devez d'abord rendre le binaire exécutable.
chmod +x ./hayabusaEnsuite, exécutez-le depuis le répertoire racine de Hayabusa :
./hayabusaDepuis Terminal ou iTerm2, vous devez d’abord rendre le binaire exécutable.
chmod +x ./hayabusaEnsuite, essayez de l'exécuter depuis le répertoire racine de Hayabusa :
./hayabusaSur la dernière version de macOS, vous pouvez recevoir l'erreur de sécurité suivante lorsque vous essayez de l'exécuter :
Cliquez sur "Annuler", puis dans les Préférences Système, ouvrez "Sécurité et confidentialité" et depuis l'onglet Général, cliquez sur "Autoriser quand même".
Après cela, essayez de l'exécuter à nouveau.
./hayabusaL'avertissement suivant apparaîtra, veuillez donc cliquer sur "Ouvrir".
Vous devriez maintenant pouvoir exécuter hayabusa.
computer-metrics : imprime le nombre d'événements en fonction des noms d'ordinateurs.eid-metrics : imprime le nombre et le pourcentage d'événements en fonction de l'ID d'événement.logon-summary : Imprime un résumé des événements de connexion.pivot-keywords-list : Imprimez une liste de mots-clés suspects sur lesquels pivoter.search : recherchez tous les événements par mot-clé(s) ou expressions régulières csv-timeline : Enregistrez la chronologie au format CSV.json-timeline : Enregistrez la chronologie au format JSON/JSONL.level-tuning : Ajustez de manière personnalisée le level des alertes.list-profiles : Répertorie les profils de sortie disponibles.set-default-profile : modifiez le profil par défaut.update-rules : synchronisez les règles avec les dernières règles dans le référentiel GitHub hayabusa-rules. help : Imprimer ce message ou l'aide de la ou des sous-commande(s) donnée(s)list-contributors : Imprimer la liste des contributeurscomputer-metrics Vous pouvez utiliser la commande computer-metrics pour vérifier le nombre d'événements en fonction de chaque ordinateur défini dans le champ <System><Computer> . Sachez que vous ne pouvez pas vous fier entièrement au champ Computer pour séparer les événements en fonction de leur ordinateur d'origine. Windows 11 utilisera parfois des noms Computer complètement différents lors de l'enregistrement dans les journaux d'événements. De plus, Windows 10 enregistrera parfois le nom Computer en minuscules. Cette commande n'utilise aucune règle de détection et analysera donc tous les événements. C'est une bonne commande à exécuter pour voir rapidement quels ordinateurs ont le plus de journaux. Avec ces informations, vous pouvez ensuite utiliser les options --include-computer ou --exclude-computer lors de la création de vos chronologies pour rendre votre génération de chronologie plus efficace en créant plusieurs chronologies en fonction de l'ordinateur ou en excluant des événements de certains ordinateurs.
Usage: computer-metrics <INPUT> [OPTIONS]
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-J, --JSON-input Scan JSON formatted logs instead of .evtx (.json or .jsonl)
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Filtering:
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
Output:
-o, --output <FILE> Save the results in CSV format (ex: computer-metrics.csv)
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
computer-metricshayabusa.exe computer-metrics -d ../logshayabusa.exe computer-metrics -d ../logs -o computer-metrics.csv computer-metrics 
eid-metrics Vous pouvez utiliser la commande eid-metrics pour imprimer le nombre total et le pourcentage d'ID d'événement (champ <System><EventID> ) séparés par canaux. Cette commande n'utilise aucune règle de détection et analysera donc tous les événements.
Usage: eid-metrics <INPUT> [OPTIONS]
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-J, --JSON-input Scan JSON formatted logs instead of .evtx (.json or .jsonl)
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Filtering:
--exclude-computer <COMPUTER...> Do not scan specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--include-computer <COMPUTER...> Scan only specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
Output:
-o, --output <FILE> Save the Metrics in CSV format (ex: metrics.csv)
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
Time Format:
--European-time Output timestamp in European time format (ex: 22-02-2022 22:00:00.123 +02:00)
--ISO-8601 Output timestamp in ISO-8601 format (ex: 2022-02-22T10:10:10.1234567Z) (Always UTC)
--RFC-2822 Output timestamp in RFC 2822 format (ex: Fri, 22 Feb 2022 22:00:00 -0600)
--RFC-3339 Output timestamp in RFC 3339 format (ex: 2022-02-22 22:00:00.123456-06:00)
--US-military-time Output timestamp in US military time format (ex: 02-22-2022 22:00:00.123 -06:00)
--US-time Output timestamp in US time format (ex: 02-22-2022 10:00:00.123 PM -06:00)
-U, --UTC Output time in UTC format (default: local time)
eid-metricshayabusa.exe eid-metrics -f Security.evtxhayabusa.exe eid-metrics -d ../logshayabusa.exe eid-metrics -f Security.evtx -o eid-metrics.csv eid-metrics Le canal, les ID d'événement et les titres des événements sont définis dans rules/config/channel_eid_info.txt .
Exemple:
Channel,EventID,EventTitle
Microsoft-Windows-Sysmon/Operational,1,Process Creation.
Microsoft-Windows-Sysmon/Operational,2,File Creation Timestamp Changed. (Possible Timestomping)
Microsoft-Windows-Sysmon/Operational,3,Network Connection.
Microsoft-Windows-Sysmon/Operational,4,Sysmon Service State Changed.
eid-metrics 
logon-summary Vous pouvez utiliser la commande logon-summary pour afficher un résumé des informations de connexion (noms d'utilisateur de connexion et nombre de connexions réussies et échouées). Vous pouvez afficher les informations de connexion pour un fichier evtx avec -f ou plusieurs fichiers evtx avec l'option -d .
Usage: logon-summary <INPUT> [OPTIONS]
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-J, --JSON-input Scan JSON formatted logs instead of .evtx (.json or .jsonl)
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Filtering:
--exclude-computer <COMPUTER...> Do not scan specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--include-computer <COMPUTER...> Scan only specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--timeline-end <DATE> End time of the event logs to load (ex: "2022-02-22 23:59:59 +09:00")
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
--timeline-start <DATE> Start time of the event logs to load (ex: "2020-02-22 00:00:00 +09:00")
Output:
-o, --output <FILENAME-PREFIX> Save the logon summary to two CSV files (ex: -o logon-summary)
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
Time Format:
--European-time Output timestamp in European time format (ex: 22-02-2022 22:00:00.123 +02:00)
--ISO-8601 Output timestamp in ISO-8601 format (ex: 2022-02-22T10:10:10.1234567Z) (Always UTC)
--RFC-2822 Output timestamp in RFC 2822 format (ex: Fri, 22 Feb 2022 22:00:00 -0600)
--RFC-3339 Output timestamp in RFC 3339 format (ex: 2022-02-22 22:00:00.123456-06:00)
--US-military-time Output timestamp in US military time format (ex: 02-22-2022 22:00:00.123 -06:00)
--US-time Output timestamp in US time format (ex: 02-22-2022 10:00:00.123 PM -06:00)
-U, --UTC Output time in UTC format (default: local time)
logon-summaryhayabusa.exe logon-summary -f Security.evtxhayabusa.exe logon-summary -d ../logs -o logon-summary.csv logon-summary 
pivot-keywords-list Vous pouvez utiliser la commande pivot-keywords-list pour créer une liste de mots-clés pivot uniques afin d'identifier rapidement les utilisateurs anormaux, les noms d'hôte, les processus, etc... ainsi que de corréler les événements.
Important : par défaut, hayabusa renverra les résultats de tous les événements (informatifs et supérieurs), nous vous recommandons donc fortement de combiner la commande pivot-keywords-list avec l'option -m, --min-level . Par exemple, commencez par créer uniquement des mots-clés à partir d'alertes critical avec -m critical , puis continuez avec -m high , -m medium , etc... Il y aura très probablement des mots-clés courants dans vos résultats qui correspondront à de nombreux événements normaux, Ainsi, après avoir vérifié manuellement les résultats et créé une liste de mots-clés uniques dans un seul fichier, vous pouvez ensuite créer une chronologie réduite des activités suspectes avec une commande telle que grep -f keywords.txt timeline.csv .
Usage: pivot-keywords-list <INPUT> [OPTIONS]
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-J, --JSON-input Scan JSON formatted logs instead of .evtx (.json or .jsonl)
-w, --no-wizard Do not ask questions. Scan for all events and alerts
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Filtering:
-E, --EID-filter Scan only common EIDs for faster speed (./rules/config/target_event_IDs.txt)
-D, --enable-deprecated-rules Enable rules with a status of deprecated
-n, --enable-noisy-rules Enable rules set to noisy (./rules/config/noisy_rules.txt)
-u, --enable-unsupported-rules Enable rules with a status of unsupported
-e, --exact-level <LEVEL> Only load rules with a specific level (informational, low, medium, high, critical)
--exclude-computer <COMPUTER...> Do not scan specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--exclude-eid <EID...> Do not scan specific EIDs for faster speed (ex: 1) (ex: 1,4688)
--exclude-status <STATUS...> Do not load rules according to status (ex: experimental) (ex: stable,test)
--exclude-tag <TAG...> Do not load rules with specific tags (ex: sysmon)
--include-computer <COMPUTER...> Scan only specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--include-eid <EID...> Scan only specified EIDs for faster speed (ex: 1) (ex: 1,4688)
--include-status <STATUS...> Only load rules with specific status (ex: experimental) (ex: stable,test)
--include-tag <TAG...> Only load rules with specific tags (ex: attack.execution,attack.discovery)
-m, --min-level <LEVEL> Minimum level for rules to load (default: informational)
--timeline-end <DATE> End time of the event logs to load (ex: "2022-02-22 23:59:59 +09:00")
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
--timeline-start <DATE> Start time of the event logs to load (ex: "2020-02-22 00:00:00 +09:00")
Output:
-o, --output <FILENAME-PREFIX> Save pivot words to separate files (ex: PivotKeywords)
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
pivot-keywords-listhayabusa.exe pivot-keywords-list -d ../logs -m criticalkeywords-Ip Addresses.txt , keywords-Users.txt , etc...) : hayabusa.exe pivot-keywords-list -d ../logs -m critical -o keywords`
pivot-keywords-list Vous pouvez personnaliser les mots-clés que vous souhaitez rechercher en modifiant ./rules/config/pivot_keywords.txt . Cette page est le paramètre par défaut.
Le format est KeywordName.FieldName . Par exemple, lors de la création de la liste des Users , hayabusa répertoriera toutes les valeurs dans les champs SubjectUserName , TargetUserName et User .
search La commande search vous permettra de rechercher par mot-clé tous les événements. (Pas seulement les résultats de détection d'Hayabusa.) Ceci est utile pour déterminer s'il existe des preuves d'événements qui ne sont pas détectés par Hayabusa.
Usage: hayabusa.exe search <INPUT> <--keywords "<KEYWORDS>" OR --regex "<REGEX>"> [OPTIONS]
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
Filtering:
-a, --and-logic Search keywords with AND logic (default: OR)
-F, --filter <FILTER...> Filter by specific field(s)
-i, --ignore-case Case-insensitive keyword search
-k, --keyword <KEYWORD...> Search by keyword(s)
-r, --regex <REGEX> Search by regular expression
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
Output:
-J, --JSON-output Save the search results in JSON format (ex: -J -o results.json)
-L, --JSONL-output Save the search results in JSONL format (ex: -L -o results.jsonl)
-M, --multiline Output event field information in multiple rows for CSV output
-o, --output <FILE> Save the search results in CSV format (ex: search.csv)
Time Format:
--European-time Output timestamp in European time format (ex: 22-02-2022 22:00:00.123 +02:00)
--ISO-8601 Output timestamp in ISO-8601 format (ex: 2022-02-22T10:10:10.1234567Z) (Always UTC)
--RFC-2822 Output timestamp in RFC 2822 format (ex: Fri, 22 Feb 2022 22:00:00 -0600)
--RFC-3339 Output timestamp in RFC 3339 format (ex: 2022-02-22 22:00:00.123456-06:00)
--US-military-time Output timestamp in US military time format (ex: 02-22-2022 22:00:00.123 -06:00)
--US-time Output timestamp in US time format (ex: 02-22-2022 10:00:00.123 PM -06:00)
-U, --UTC Output time in UTC format (default: local time)
search../hayabusa-sample-evtx le mot-clé mimikatz : 
