hayabusa
v2.18.0 ?
Hayabusa é um gerador rápido de linha do tempo forense de log de eventos do Windows e uma ferramenta de caça a ameaças criada pelo grupo Yamato Security no Japão. Hayabusa significa “falcão peregrino” em japonês e foi escolhido porque os falcões peregrinos são os animais mais rápidos do mundo, ótimos na caça e altamente treináveis. Ele é escrito em Rust e suporta multithreading para ser o mais rápido possível. Fornecemos uma ferramenta para converter regras Sigma para o formato de regras Hayabusa. As regras de detecção Hayabusa compatíveis com Sigma são escritas em YML para serem tão facilmente personalizáveis e extensíveis quanto possível. A Hayabusa pode ser executada em sistemas únicos para análise em tempo real, coletando logs de um ou vários sistemas para análise off-line ou executando o artefato Hayabusa com Velociraptor para caça a ameaças e resposta a incidentes em toda a empresa. A saída será consolidada em uma única linha do tempo CSV para fácil análise no LibreOffice, Timeline Explorer, Elastic Stack, Timesketch, etc...
evtx .-T )-H )-M Multiline)computer-metricscomputer-metricscomputer-metricseid-metricseid-metricseid-metricseid-metricslogon-summarylogon-summarylogon-summarypivot-keywords-listpivot-keywords-listpivot-keywords-listsearchsearchsearchcsv-timelinecsv-timelinecsv-timelinejson-timelinejson-timeline e arquivos de configuraçãolevel-tuninglevel-tuninglevel-tuninglist-profilesset-default-profileset-default-profileupdate-rulesupdate-rulesminimal de perfilstandardverboseall-field-infoall-field-info-verbosesuper-verbosetimesketch-minimaltimesketch-verboseAtualmente, a Hayabusa tem mais de 4.000 regras Sigma e mais de 170 regras de detecção integradas da Hayabusa, com mais regras sendo adicionadas regularmente. Ele pode ser usado para caça proativa de ameaças em toda a empresa, bem como DFIR (Digital Forensics and Incident Response) gratuitamente com o artefato Hayabusa do Velociraptor. Ao combinar essas duas ferramentas de código aberto, você pode essencialmente reproduzir retroativamente um SIEM quando não houver configuração de SIEM no ambiente. Você pode aprender como fazer isso assistindo ao passo a passo do Velociraptor de Eric Capuano aqui.
A análise do log de eventos do Windows tem sido tradicionalmente um processo muito longo e tedioso porque os logs de eventos do Windows estão 1) em um formato de dados difícil de analisar e 2) a maioria dos dados são ruídos e não são úteis para investigações. O objetivo da Hayabusa é extrair apenas dados úteis e apresentá-los em um formato conciso e fácil de ler, que possa ser usado não apenas por analistas treinados profissionalmente, mas por qualquer administrador de sistema Windows. A Hayabusa espera permitir que os analistas realizem 80% do seu trabalho em 20% do tempo, em comparação com a análise tradicional do log de eventos do Windows.
-T ) 
-H ) 
-M Multiline) 
Você pode aprender como analisar cronogramas CSV no Excel e no Timeline Explorer aqui.
Você pode aprender como importar arquivos CSV para o Elastic Stack aqui.
Você pode aprender como importar arquivos CSV para o Timesketch aqui.
Você pode aprender como analisar resultados formatados em JSON com jq aqui.
|equalsfield e |endswithfield .0xc0000234 -> ACCOUNT LOCKED )Baixe a versão estável mais recente do Hayabusa com binários compilados ou compile o código-fonte na página de lançamentos.
Fornecemos binários para as seguintes arquiteturas:
hayabusa-xxx-lin-aarch64-gnu )hayabusa-xxx-lin-x64-gnu )hayabusa-xxx-lin-x64-musl )hayabusa-xxx-mac-aarch64 )hayabusa-xxx-mac-x64 )hayabusa-xxx-win-aarch64.exe )hayabusa-xxx-win-x64.exe )hayabusa-xxx-win-x86.exe )Por alguma razão, o binário Linux ARM MUSL não funciona corretamente, por isso não fornecemos esse binário. Está fora do nosso controle, por isso planejamos fornecê-lo no futuro, quando for consertado.
A partir da v2.18.0, fornecemos pacotes especiais do Windows que usam regras codificadas em XOR fornecidas em um único arquivo, bem como todos os arquivos de configuração combinados em um único arquivo (hospedado no repositório de regras codificadas em hayabusa). Basta baixar os pacotes zip com live-response no nome. Os arquivos zip incluem apenas três arquivos: o binário Hayabusa, o arquivo de regras codificado em XOR e o arquivo de configuração. O objetivo desses pacotes de resposta ao vivo é ao executar Hayabusa em endpoints de clientes. Queremos ter certeza de que scanners antivírus como o Windows Defender não forneçam falsos positivos em arquivos de regras .yml . Além disso, queremos minimizar a quantidade de arquivos gravados no sistema para que artefatos forenses como o USN Journal não sejam substituídos.
Você pode git clone o repositório com o seguinte comando e compilar o binário do código-fonte:
Atenção: O branch principal do repositório é para fins de desenvolvimento então você poderá acessar novos recursos ainda não lançados oficialmente, porém, pode haver bugs então considere-o instável.
git clone https://github.com/Yamato-Security/hayabusa.git --recursiveNota: Se você esquecer de usar a opção --recursive, a pasta
rules, que é gerenciada como um submódulo git, não será clonada.
Você pode sincronizar a pasta de rules e obter as regras mais recentes da Hayabusa com git pull --recurse-submodules ou usar o seguinte comando:
hayabusa.exe update-rules Se a atualização falhar, pode ser necessário renomear a pasta rules e tentar novamente.
Cuidado: Ao atualizar, as regras e os arquivos de configuração na pasta de
rulessão substituídos pelas regras e arquivos de configuração mais recentes no repositório hayabusa-rules. Quaisquer alterações feitas nos arquivos existentes serão substituídas, portanto, recomendamos que você faça backups de todos os arquivos editados antes de atualizar. Se você estiver realizando ajuste de nível comlevel-tuning, reajuste seus arquivos de regras após cada atualização. Se você adicionar novas regras dentro da pastarules, elas não serão substituídas ou excluídas durante a atualização.
Se você tiver o Rust instalado, poderá compilar a partir do código-fonte com o seguinte comando:
Nota: Para compilar, você geralmente precisa da versão mais recente do Rust.
cargo build --releaseVocê pode baixar a versão instável mais recente no branch principal ou a versão estável mais recente na página de lançamentos.
Certifique-se de atualizar periodicamente o Rust com:
rustup update stable O binário compilado será gerado na pasta ./target/release .
Você pode atualizar para as caixas Rust mais recentes antes de compilar:
cargo updateInforme-nos se algo quebrar após a atualização.
Você pode criar binários de 32 bits em sistemas Windows de 64 bits com o seguinte:
rustup install stable-i686-pc-windows-msvc
rustup target add i686-pc-windows-msvc
rustup run stable-i686-pc-windows-msvc cargo build --releaseAviso: Certifique-se de executar
rustup install stable-i686-pc-windows-msvcsempre que houver uma nova versão estável do Rust, poisrustup update stablenão atualizará o compilador para compilação cruzada e você poderá receber erros de compilação.
Se receber erros de compilação sobre o openssl, você precisará instalar o Homebrew e depois instalar os seguintes pacotes:
brew install pkg-config
brew install opensslSe receber erros de compilação sobre o openssl, você precisará instalar o pacote a seguir.
Distribuições baseadas em Ubuntu:
sudo apt install libssl-devDistribuições baseadas no Fedora:
sudo yum install openssl-develEm um sistema operacional Linux, primeiro instale o destino.
rustup install stable-x86_64-unknown-linux-musl
rustup target add x86_64-unknown-linux-muslCompilar com:
cargo build --release --target=x86_64-unknown-linux-muslAviso: Certifique-se de executar
rustup install stable-x86_64-unknown-linux-muslsempre que houver uma nova versão estável do Rust, poisrustup update stablenão atualizará o compilador para compilação cruzada e você poderá receber erros de compilação.
O binário MUSL será criado no diretório ./target/x86_64-unknown-linux-musl/release/ . Os binários MUSL são cerca de 15% mais lentos que os binários GNU, no entanto, são mais portáveis em diferentes versões e distribuições do Linux.
Você pode receber um alerta de produtos antivírus ou EDR ao tentar executar o hayabusa ou mesmo apenas ao baixar as regras .yml , pois haverá palavras-chave como mimikatz e comandos suspeitos do PowerShell na assinatura de detecção. Esses são falsos positivos, portanto, será necessário configurar exclusões em seus produtos de segurança para permitir a execução do hayabusa. Se você está preocupado com malware ou ataques à cadeia de suprimentos, verifique o código-fonte da hayabusa e compile os binários você mesmo.
Você pode enfrentar um tempo de execução lento, especialmente na primeira execução após uma reinicialização, devido à proteção em tempo real do Windows Defender. Você pode evitar isso desativando temporariamente a proteção em tempo real ou adicionando uma exclusão ao diretório de tempo de execução hayabusa. (Leve em consideração os riscos de segurança antes de fazer isso.)
Em um prompt de comando/PowerShell ou terminal do Windows, basta executar o binário apropriado do Windows de 32 ou 64 bits.
Ao usar o prompt de comando ou PowerShell integrado no Windows, você pode receber um erro informando que a Hayabusa não conseguiu carregar nenhum arquivo .evtx se houver espaço no caminho do arquivo ou diretório. Para carregar os arquivos .evtx corretamente, faça o seguinte:
Primeiro você precisa tornar o binário executável.
chmod +x ./hayabusaEm seguida, execute-o no diretório raiz da Hayabusa:
./hayabusaNo Terminal ou iTerm2, primeiro você precisa tornar o binário executável.
chmod +x ./hayabusaEm seguida, tente executá-lo a partir do diretório raiz da Hayabusa:
./hayabusaNa versão mais recente do macOS, você pode receber o seguinte erro de segurança ao tentar executá-lo:
Clique em “Cancelar” e em Preferências do Sistema, abra “Segurança e Privacidade” e na guia Geral, clique em “Permitir assim mesmo”.
Depois disso, tente executá-lo novamente.
./hayabusaO seguinte aviso aparecerá, então clique em "Abrir".
Agora você deve ser capaz de executar o hayabusa.
computer-metrics : imprime o número de eventos com base nos nomes dos computadores.eid-metrics : Imprime o número e a porcentagem de eventos com base no ID do evento.logon-summary : imprime um resumo dos eventos de logon.pivot-keywords-list : Imprima uma lista de palavras-chave suspeitas para usar.search : pesquise todos os eventos por palavras-chave ou expressões regulares csv-timeline : Salve a linha do tempo no formato CSV.json-timeline : Salve a linha do tempo no formato JSON/JSONL.level-tuning : ajuste personalizado do level dos alertas.list-profiles : lista os perfis de saída disponíveis.set-default-profile : Altere o perfil padrão.update-rules : Sincronize as regras com as regras mais recentes no repositório GitHub hayabusa-rules. help : imprime esta mensagem ou a ajuda do(s) subcomando(s) fornecido(s)list-contributors : Imprime a lista de contribuidorescomputer-metrics Você pode utilizar o comando computer-metrics para verificar quantos eventos existem de acordo com cada computador definido no campo <System><Computer> . Esteja ciente de que você não pode confiar totalmente no campo Computer para separar eventos pelo computador original. Às vezes, o Windows 11 usa nomes Computer completamente diferentes ao salvar em logs de eventos. Além disso, o Windows 10 às vezes registra o nome Computer em letras minúsculas. Este comando não usa nenhuma regra de detecção, portanto analisará todos os eventos. Este é um bom comando para executar para ver rapidamente quais computadores têm mais logs. Com essas informações, você pode usar as opções --include-computer ou --exclude-computer ao criar suas linhas do tempo para tornar a geração da linha do tempo mais eficiente, criando várias linhas do tempo de acordo com o computador ou excluindo eventos de determinados computadores.
Usage: computer-metrics <INPUT> [OPTIONS]
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-J, --JSON-input Scan JSON formatted logs instead of .evtx (.json or .jsonl)
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Filtering:
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
Output:
-o, --output <FILE> Save the results in CSV format (ex: computer-metrics.csv)
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
computer-metricshayabusa.exe computer-metrics -d ../logshayabusa.exe computer-metrics -d ../logs -o computer-metrics.csv computer-metrics 
eid-metrics Você pode usar o comando eid-metrics para imprimir o número total e a porcentagem de IDs de eventos (campo <System><EventID> ) separados por canais. Este comando não usa nenhuma regra de detecção, portanto verificará todos os eventos.
Usage: eid-metrics <INPUT> [OPTIONS]
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-J, --JSON-input Scan JSON formatted logs instead of .evtx (.json or .jsonl)
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Filtering:
--exclude-computer <COMPUTER...> Do not scan specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--include-computer <COMPUTER...> Scan only specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
Output:
-o, --output <FILE> Save the Metrics in CSV format (ex: metrics.csv)
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
Time Format:
--European-time Output timestamp in European time format (ex: 22-02-2022 22:00:00.123 +02:00)
--ISO-8601 Output timestamp in ISO-8601 format (ex: 2022-02-22T10:10:10.1234567Z) (Always UTC)
--RFC-2822 Output timestamp in RFC 2822 format (ex: Fri, 22 Feb 2022 22:00:00 -0600)
--RFC-3339 Output timestamp in RFC 3339 format (ex: 2022-02-22 22:00:00.123456-06:00)
--US-military-time Output timestamp in US military time format (ex: 02-22-2022 22:00:00.123 -06:00)
--US-time Output timestamp in US time format (ex: 02-22-2022 10:00:00.123 PM -06:00)
-U, --UTC Output time in UTC format (default: local time)
eid-metricshayabusa.exe eid-metrics -f Security.evtxhayabusa.exe eid-metrics -d ../logshayabusa.exe eid-metrics -f Security.evtx -o eid-metrics.csv eid-metrics O canal, os IDs dos eventos e os títulos dos eventos são definidos em rules/config/channel_eid_info.txt .
Exemplo:
Channel,EventID,EventTitle
Microsoft-Windows-Sysmon/Operational,1,Process Creation.
Microsoft-Windows-Sysmon/Operational,2,File Creation Timestamp Changed. (Possible Timestomping)
Microsoft-Windows-Sysmon/Operational,3,Network Connection.
Microsoft-Windows-Sysmon/Operational,4,Sysmon Service State Changed.
eid-metrics 
logon-summary Você pode usar o comando logon-summary para gerar um resumo das informações de logon (nomes de usuário de logon e contagem de logons bem-sucedidos e com falha). Você pode exibir as informações de logon de um arquivo evtx com -f ou de vários arquivos evtx com a opção -d .
Usage: logon-summary <INPUT> [OPTIONS]
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-J, --JSON-input Scan JSON formatted logs instead of .evtx (.json or .jsonl)
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Filtering:
--exclude-computer <COMPUTER...> Do not scan specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--include-computer <COMPUTER...> Scan only specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--timeline-end <DATE> End time of the event logs to load (ex: "2022-02-22 23:59:59 +09:00")
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
--timeline-start <DATE> Start time of the event logs to load (ex: "2020-02-22 00:00:00 +09:00")
Output:
-o, --output <FILENAME-PREFIX> Save the logon summary to two CSV files (ex: -o logon-summary)
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
Time Format:
--European-time Output timestamp in European time format (ex: 22-02-2022 22:00:00.123 +02:00)
--ISO-8601 Output timestamp in ISO-8601 format (ex: 2022-02-22T10:10:10.1234567Z) (Always UTC)
--RFC-2822 Output timestamp in RFC 2822 format (ex: Fri, 22 Feb 2022 22:00:00 -0600)
--RFC-3339 Output timestamp in RFC 3339 format (ex: 2022-02-22 22:00:00.123456-06:00)
--US-military-time Output timestamp in US military time format (ex: 02-22-2022 22:00:00.123 -06:00)
--US-time Output timestamp in US time format (ex: 02-22-2022 10:00:00.123 PM -06:00)
-U, --UTC Output time in UTC format (default: local time)
logon-summaryhayabusa.exe logon-summary -f Security.evtxhayabusa.exe logon-summary -d ../logs -o logon-summary.csv logon-summary 
pivot-keywords-list Você pode usar o comando pivot-keywords-list para criar uma lista de palavras-chave pivot exclusivas para identificar rapidamente usuários, nomes de host, processos, etc. anormais... bem como correlacionar eventos.
Importante: por padrão, hayabusa retornará resultados de todos os eventos (informativos e superiores), por isso é altamente recomendável combinar o comando pivot-keywords-list com a opção -m, --min-level . Por exemplo, comece criando apenas palavras-chave de alertas critical com -m critical e depois continue com -m high , -m medium , etc... Provavelmente haverá palavras-chave comuns em seus resultados que corresponderão a muitos eventos normais, portanto, depois de verificar manualmente os resultados e criar uma lista de palavras-chave exclusivas em um único arquivo, você pode criar um cronograma reduzido de atividades suspeitas com um comando como grep -f keywords.txt timeline.csv .
Usage: pivot-keywords-list <INPUT> [OPTIONS]
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-J, --JSON-input Scan JSON formatted logs instead of .evtx (.json or .jsonl)
-w, --no-wizard Do not ask questions. Scan for all events and alerts
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Filtering:
-E, --EID-filter Scan only common EIDs for faster speed (./rules/config/target_event_IDs.txt)
-D, --enable-deprecated-rules Enable rules with a status of deprecated
-n, --enable-noisy-rules Enable rules set to noisy (./rules/config/noisy_rules.txt)
-u, --enable-unsupported-rules Enable rules with a status of unsupported
-e, --exact-level <LEVEL> Only load rules with a specific level (informational, low, medium, high, critical)
--exclude-computer <COMPUTER...> Do not scan specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--exclude-eid <EID...> Do not scan specific EIDs for faster speed (ex: 1) (ex: 1,4688)
--exclude-status <STATUS...> Do not load rules according to status (ex: experimental) (ex: stable,test)
--exclude-tag <TAG...> Do not load rules with specific tags (ex: sysmon)
--include-computer <COMPUTER...> Scan only specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--include-eid <EID...> Scan only specified EIDs for faster speed (ex: 1) (ex: 1,4688)
--include-status <STATUS...> Only load rules with specific status (ex: experimental) (ex: stable,test)
--include-tag <TAG...> Only load rules with specific tags (ex: attack.execution,attack.discovery)
-m, --min-level <LEVEL> Minimum level for rules to load (default: informational)
--timeline-end <DATE> End time of the event logs to load (ex: "2022-02-22 23:59:59 +09:00")
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
--timeline-start <DATE> Start time of the event logs to load (ex: "2020-02-22 00:00:00 +09:00")
Output:
-o, --output <FILENAME-PREFIX> Save pivot words to separate files (ex: PivotKeywords)
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
pivot-keywords-listhayabusa.exe pivot-keywords-list -d ../logs -m criticalkeywords-Ip Addresses.txt , keywords-Users.txt , etc...): hayabusa.exe pivot-keywords-list -d ../logs -m critical -o keywords`
pivot-keywords-list Você pode personalizar quais palavras-chave deseja pesquisar editando ./rules/config/pivot_keywords.txt . Esta página é a configuração padrão.
O formato é KeywordName.FieldName . Por exemplo, ao criar a lista de Users , hayabusa listará todos os valores nos campos SubjectUserName , TargetUserName e User .
search O comando search permitirá que você pesquise por palavra-chave em todos os eventos. (Não apenas resultados de detecção da Hayabusa.) Isto é útil para determinar se há alguma evidência em eventos que não são detectados pela Hayabusa.
Usage: hayabusa.exe search <INPUT> <--keywords "<KEYWORDS>" OR --regex "<REGEX>"> [OPTIONS]
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
Filtering:
-a, --and-logic Search keywords with AND logic (default: OR)
-F, --filter <FILTER...> Filter by specific field(s)
-i, --ignore-case Case-insensitive keyword search
-k, --keyword <KEYWORD...> Search by keyword(s)
-r, --regex <REGEX> Search by regular expression
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
Output:
-J, --JSON-output Save the search results in JSON format (ex: -J -o results.json)
-L, --JSONL-output Save the search results in JSONL format (ex: -L -o results.jsonl)
-M, --multiline Output event field information in multiple rows for CSV output
-o, --output <FILE> Save the search results in CSV format (ex: search.csv)
Time Format:
--European-time Output timestamp in European time format (ex: 22-02-2022 22:00:00.123 +02:00)
--ISO-8601 Output timestamp in ISO-8601 format (ex: 2022-02-22T10:10:10.1234567Z) (Always UTC)
--RFC-2822 Output timestamp in RFC 2822 format (ex: Fri, 22 Feb 2022 22:00:00 -0600)
--RFC-3339 Output timestamp in RFC 3339 format (ex: 2022-02-22 22:00:00.123456-06:00)
--US-military-time Output timestamp in US military time format (ex: 02-22-2022 22:00:00.123 -06:00)
--US-time Output timestamp in US time format (ex: 02-22-2022 10:00:00.123 PM -06:00)
-U, --UTC Output time in UTC format (default: local time)
search../hayabusa-sample-evtx pela palavra-chave mimikatz : 
