hayabusa
v2.18.0 ?
Hayabusa — это генератор временной шкалы журнала событий Windows для быстрого анализа и инструмент поиска угроз, созданный группой Yamato Security в Японии. Хаябуса в переводе с японского означает «сапсан» и был выбран потому, что сапсан — самое быстрое животное в мире, прекрасно охотится и хорошо поддается дрессировке. Он написан на Rust и поддерживает многопоточность, чтобы работать максимально быстро. Мы предоставили инструмент для преобразования правил Sigma в формат правил Hayabusa. Правила обнаружения Hayabusa, совместимые с Sigma, написаны на YML, чтобы их можно было максимально легко настраивать и расширять. Hayabusa можно запускать либо на одной работающей системе для анализа в реальном времени, собирая журналы из одной или нескольких систем для автономного анализа, либо запуская артефакт Hayabusa с Velociraptor для поиска угроз и реагирования на инциденты в масштабе всего предприятия. Результаты будут объединены в единую временную шкалу CSV для удобного анализа в LibreOffice, Timeline Explorer, Elastic Stack, Timesketch и т. д.
evtx .-T )-H )-M многострочный вывод)computer-metricscomputer-metricscomputer-metricseid-metricseid-metricseid-metricseid-metricslogon-summarylogon-summarylogon-summarypivot-keywords-listpivot-keywords-listpivot-keywords-listsearchsearchsearchcsv-timeline шкалыcsv-timelinecsv-timelinejson-timelinejson-timeline и файлы конфигурацииlevel-tuninglevel-tuninglevel-tuninglist-profilesset-default-profileset-default-profileupdate-rulesupdate-rulesminimal вывод профиляstandard профиляverbose вывод профиляall-field-infoall-field-info-verbosesuper-verbose вывод профиляtimesketch-minimaltimesketch-verboseВ настоящее время в Hayabusa имеется более 4000 правил Sigma и более 170 встроенных правил обнаружения Hayabusa, причем новые правила регулярно добавляются. Его можно использовать для превентивного поиска угроз в масштабах всего предприятия, а также бесплатно для DFIR (цифровой криминалистики и реагирования на инциденты) с артефактом Hayabusa от Velociraptor. Объединив эти два инструмента с открытым исходным кодом, вы можете, по сути, задним числом воспроизвести SIEM, когда в среде нет настроек SIEM. Вы можете узнать, как это сделать, посмотрев прохождение Велоцираптора Эрика Капуано здесь.
Анализ журнала событий Windows традиционно был очень долгим и утомительным процессом, поскольку журналы событий Windows 1) имеют формат данных, который трудно анализировать, и 2) большая часть данных представляет собой шум и бесполезна для расследований. Цель Hayabusa — извлечь только полезные данные и представить их в максимально сжатом и удобном для чтения формате, который будет доступен не только профессионально подготовленным аналитикам, но и любому системному администратору Windows. Хаябуса надеется, что аналитики смогут выполнить 80% своей работы за 20% времени по сравнению с традиционным анализом журнала событий Windows.
-T ) 
-H ) 
-M многострочный вывод) 
Вы можете узнать, как анализировать временные шкалы CSV в Excel и Timeline Explorer здесь.
Вы можете узнать, как импортировать файлы CSV в Elastic Stack здесь.
Вы можете узнать, как импортировать файлы CSV в Timesketch здесь.
Вы можете узнать, как анализировать результаты в формате JSON с помощью jq здесь.
|equalsfield и |endswithfield .0xc0000234 -> ACCOUNT LOCKED )Загрузите последнюю стабильную версию Hayabusa со скомпилированными двоичными файлами или скомпилируйте исходный код со страницы «Релизы».
Мы предоставляем двоичные файлы для следующих архитектур:
hayabusa-xxx-lin-aarch64-gnu )hayabusa-xxx-lin-x64-gnu )hayabusa-xxx-lin-x64-musl )hayabusa-xxx-mac-aarch64 )hayabusa-xxx-mac-x64 )hayabusa-xxx-win-aarch64.exe )hayabusa-xxx-win-x64.exe )hayabusa-xxx-win-x86.exe )По какой-то причине двоичный файл Linux ARM MUSL не работает должным образом, поэтому мы не предоставляем этот двоичный файл. Эта проблема находится вне нашего контроля, поэтому мы планируем предоставить ее в будущем, когда она будет исправлена.
Начиная с версии 2.18.0, мы предоставляем специальные пакеты Windows, которые используют правила в кодировке XOR, представленные в одном файле, а также все файлы конфигурации, объединенные в один файл (размещенный в репозитории hayabusa-encoded-rules). Просто загрузите zip-пакеты с live-response в названии. ZIP-файлы включают всего три файла: двоичный файл Hayabusa, файл правил в кодировке XOR и файл конфигурации. Целью этих пакетов оперативного ответа является то, что при запуске Hayabusa на конечных точках клиента мы хотим быть уверены, что антивирусные сканеры, такие как Защитник Windows, не выдают ложных срабатываний в файлах правил .yml . Кроме того, мы хотим свести к минимуму количество файлов, записываемых в систему, чтобы такие артефакты криминалистической экспертизы, как журнал USN Journal, не перезаписывались.
Вы можете git clone с помощью следующей команды и скомпилировать двоичный файл из исходного кода:
Предупреждение: основная ветка репозитория предназначена для целей разработки, поэтому вы можете получить доступ к новым функциям, еще официально не выпущенным, однако могут быть ошибки, поэтому считайте его нестабильным.
git clone https://github.com/Yamato-Security/hayabusa.git --recursiveПримечание. Если вы забудете использовать параметр --recursive, папка
rules, которая управляется как подмодуль git, не будет клонирована.
Вы можете синхронизировать папку rules и получить последние версии правил Hayabusa с помощью git pull --recurse-submodules или использовать следующую команду:
hayabusa.exe update-rules Если обновление не удалось, возможно, вам придется переименовать папку rules и повторить попытку.
Внимание: При обновлении правила и файлы конфигурации в папке
rulesзаменяются новейшими правилами и файлами конфигурации из репозитория hayabusa-rules. Любые изменения, внесенные вами в существующие файлы, будут перезаписаны, поэтому мы рекомендуем вам делать резервные копии всех файлов, которые вы редактируете, перед обновлением. Если вы выполняете настройку уровня с помощьюlevel-tuning, перенастраивайте файлы правил после каждого обновления. Если вы добавите новые правила в папкуrules, они не будут перезаписаны или удалены при обновлении.
Если у вас установлен Rust, вы можете скомпилировать его из исходного кода с помощью следующей команды:
Примечание. Для компиляции обычно требуется последняя версия Rust.
cargo build --releaseВы можете скачать последнюю нестабильную версию из основной ветки или последнюю стабильную версию со страницы Релизы.
Обязательно периодически обновляйте Rust:
rustup update stable Скомпилированный двоичный файл будет выведен в папку ./target/release .
Вы можете обновить крейты Rust до последней версии перед компиляцией:
cargo updateПожалуйста, дайте нам знать, если что-то сломается после обновления.
Вы можете создавать 32-битные двоичные файлы в 64-битных системах Windows с помощью следующих средств:
rustup install stable-i686-pc-windows-msvc
rustup target add i686-pc-windows-msvc
rustup run stable-i686-pc-windows-msvc cargo build --releaseПредупреждение: Обязательно запускайте
rustup install stable-i686-pc-windows-msvcвсякий раз, когда появляется новая стабильная версия Rust, посколькуrustup update stableне будет обновлять компилятор для кросс-компиляции, и вы можете получить ошибки сборки.
Если вы получаете ошибки компиляции openssl, вам необходимо установить Homebrew, а затем установить следующие пакеты:
brew install pkg-config
brew install opensslЕсли вы получаете ошибки компиляции openssl, вам необходимо установить следующий пакет.
Дистрибутивы на базе Ubuntu:
sudo apt install libssl-devДистрибутивы на базе Fedora:
sudo yum install openssl-develВ ОС Linux сначала установите цель.
rustup install stable-x86_64-unknown-linux-musl
rustup target add x86_64-unknown-linux-muslСкомпилировать с помощью:
cargo build --release --target=x86_64-unknown-linux-muslПредупреждение: Обязательно запускайте
rustup install stable-x86_64-unknown-linux-muslвсякий раз, когда появляется новая стабильная версия Rust, посколькуrustup update stableне будет обновлять компилятор для кросс-компиляции, и вы можете получить ошибки сборки.
Бинарный файл MUSL будет создан в каталоге ./target/x86_64-unknown-linux-musl/release/ . Двоичные файлы MUSL примерно на 15% медленнее, чем двоичные файлы GNU, однако они более переносимы в разные версии и дистрибутивы Linux.
Вы можете получить предупреждение от антивирусных продуктов или продуктов EDR при попытке запустить hayabusa или даже просто при загрузке правил .yml , поскольку в сигнатуре обнаружения будут такие ключевые слова, как mimikatz и подозрительные команды PowerShell. Это ложные срабатывания, поэтому вам потребуется настроить исключения в ваших продуктах безопасности, чтобы разрешить запуск hayabusa. Если вы беспокоитесь о вредоносном ПО или атаках на цепочку поставок, проверьте исходный код hayabusa и скомпилируйте двоичные файлы самостоятельно.
Вы можете столкнуться с замедлением работы, особенно при первом запуске после перезагрузки, из-за защиты Защитника Windows в реальном времени. Вы можете избежать этого, временно отключив постоянную защиту или добавив исключение в каталог времени выполнения hayabusa. (Пожалуйста, примите во внимание риски безопасности, прежде чем делать это.)
В командной строке/подсказке PowerShell или терминале Windows просто запустите соответствующий двоичный файл 32- или 64-разрядной версии Windows.
При использовании встроенной командной строки или приглашения PowerShell в Windows вы можете получить сообщение об ошибке, сообщающее, что Hayabusa не смог загрузить файлы .evtx, если в пути к вашему файлу или каталогу есть пробел. Чтобы правильно загрузить файлы .evtx, обязательно выполните следующие действия:
Сначала вам нужно сделать двоичный исполняемый файл.
chmod +x ./hayabusaЗатем запустите его из корневого каталога Hayabusa:
./hayabusaВ Терминале или iTerm2 сначала необходимо создать исполняемый двоичный файл.
chmod +x ./hayabusaЗатем попробуйте запустить его из корневого каталога Hayabusa:
./hayabusaВ последней версии macOS при попытке запуска вы можете получить следующую ошибку безопасности:
Нажмите «Отмена», а затем в «Системных настройках» откройте «Безопасность и конфиденциальность» и на вкладке «Общие» нажмите «Все равно разрешить».
После этого попробуйте запустить его еще раз.
./hayabusaПоявится следующее предупреждение, поэтому нажмите «Открыть».
Теперь вы сможете запустить hayabusa.
computer-metrics : выведите количество событий на основе имен компьютеров.eid-metrics : выводит количество и процент событий на основе идентификатора события.logon-summary : вывести сводку событий входа в систему.pivot-keywords-list : Распечатайте список подозрительных ключевых слов для поворота.search : поиск всех событий по ключевым словам или регулярным выражениям. csv-timeline : сохраните временную шкалу в формате CSV.json-timeline : сохраните временную шкалу в формате JSON/JSONL.level-tuning : Пользовательская настройка level оповещений.list-profiles : список доступных выходных профилей.set-default-profile : изменить профиль по умолчанию.update-rules : синхронизируйте правила с последними правилами в репозитории hayabusa-rules на GitHub. help : Распечатать это сообщение или справку по данной подкоманде(ам).list-contributors : Распечатать список участников.computer-metrics Вы можете использовать команду computer-metrics , чтобы проверить количество событий для каждого компьютера, определенного в поле <System><Computer> . Имейте в виду, что вы не можете полностью полагаться на поле Computer для разделения событий по исходному компьютеру. Windows 11 иногда использует совершенно разные имена Computer при сохранении в журналах событий. Кроме того, Windows 10 иногда записывает имя Computer строчными буквами. Эта команда не использует никаких правил обнаружения, поэтому анализирует все события. Это хорошая команда, которую можно запустить, чтобы быстро увидеть, на каких компьютерах больше всего журналов. Используя эту информацию, вы затем можете использовать параметры --include-computer или --exclude-computer при создании временных шкал, чтобы сделать создание временной шкалы более эффективным, создавая несколько временных шкал в зависимости от компьютера или исключая события с определенных компьютеров.
Usage: computer-metrics <INPUT> [OPTIONS]
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-J, --JSON-input Scan JSON formatted logs instead of .evtx (.json or .jsonl)
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Filtering:
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
Output:
-o, --output <FILE> Save the results in CSV format (ex: computer-metrics.csv)
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
computer-metricshayabusa.exe computer-metrics -d ../logshayabusa.exe computer-metrics -d ../logs -o computer-metrics.csv computer-metrics 
eid-metrics Вы можете использовать команду eid-metrics , чтобы распечатать общее количество и процент идентификаторов событий (поле <System><EventID> ), разделенных по каналам. Эта команда не использует никаких правил обнаружения, поэтому сканирует все события.
Usage: eid-metrics <INPUT> [OPTIONS]
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-J, --JSON-input Scan JSON formatted logs instead of .evtx (.json or .jsonl)
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Filtering:
--exclude-computer <COMPUTER...> Do not scan specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--include-computer <COMPUTER...> Scan only specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
Output:
-o, --output <FILE> Save the Metrics in CSV format (ex: metrics.csv)
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
Time Format:
--European-time Output timestamp in European time format (ex: 22-02-2022 22:00:00.123 +02:00)
--ISO-8601 Output timestamp in ISO-8601 format (ex: 2022-02-22T10:10:10.1234567Z) (Always UTC)
--RFC-2822 Output timestamp in RFC 2822 format (ex: Fri, 22 Feb 2022 22:00:00 -0600)
--RFC-3339 Output timestamp in RFC 3339 format (ex: 2022-02-22 22:00:00.123456-06:00)
--US-military-time Output timestamp in US military time format (ex: 02-22-2022 22:00:00.123 -06:00)
--US-time Output timestamp in US time format (ex: 02-22-2022 10:00:00.123 PM -06:00)
-U, --UTC Output time in UTC format (default: local time)
eid-metricshayabusa.exe eid-metrics -f Security.evtxhayabusa.exe eid-metrics -d ../logshayabusa.exe eid-metrics -f Security.evtx -o eid-metrics.csv eid-metrics Канал, идентификаторы событий и названия событий определяются в rules/config/channel_eid_info.txt .
Пример:
Channel,EventID,EventTitle
Microsoft-Windows-Sysmon/Operational,1,Process Creation.
Microsoft-Windows-Sysmon/Operational,2,File Creation Timestamp Changed. (Possible Timestomping)
Microsoft-Windows-Sysmon/Operational,3,Network Connection.
Microsoft-Windows-Sysmon/Operational,4,Sysmon Service State Changed.
eid-metrics 
logon-summary Вы можете использовать команду logon-summary для вывода сводной информации о входе в систему (имена пользователей, а также количество успешных и неудачных входов). Вы можете отобразить информацию для входа в систему для одного файла evtx с помощью -f или нескольких файлов evtx с параметром -d .
Usage: logon-summary <INPUT> [OPTIONS]
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-J, --JSON-input Scan JSON formatted logs instead of .evtx (.json or .jsonl)
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Filtering:
--exclude-computer <COMPUTER...> Do not scan specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--include-computer <COMPUTER...> Scan only specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--timeline-end <DATE> End time of the event logs to load (ex: "2022-02-22 23:59:59 +09:00")
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
--timeline-start <DATE> Start time of the event logs to load (ex: "2020-02-22 00:00:00 +09:00")
Output:
-o, --output <FILENAME-PREFIX> Save the logon summary to two CSV files (ex: -o logon-summary)
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
Time Format:
--European-time Output timestamp in European time format (ex: 22-02-2022 22:00:00.123 +02:00)
--ISO-8601 Output timestamp in ISO-8601 format (ex: 2022-02-22T10:10:10.1234567Z) (Always UTC)
--RFC-2822 Output timestamp in RFC 2822 format (ex: Fri, 22 Feb 2022 22:00:00 -0600)
--RFC-3339 Output timestamp in RFC 3339 format (ex: 2022-02-22 22:00:00.123456-06:00)
--US-military-time Output timestamp in US military time format (ex: 02-22-2022 22:00:00.123 -06:00)
--US-time Output timestamp in US time format (ex: 02-22-2022 10:00:00.123 PM -06:00)
-U, --UTC Output time in UTC format (default: local time)
logon-summaryhayabusa.exe logon-summary -f Security.evtxhayabusa.exe logon-summary -d ../logs -o logon-summary.csv logon-summary 
pivot-keywords-list Вы можете использовать команду pivot-keywords-list для создания списка уникальных ключевых слов для быстрого выявления необычных пользователей, имен хостов, процессов и т. д., а также для корреляции событий.
Важно: по умолчанию hayabusa будет возвращать результаты всех событий (информационных и выше), поэтому мы настоятельно рекомендуем комбинировать команду pivot-keywords-list с опцией -m, --min-level . Например, начните с создания ключевых слов только из critical предупреждений с -m critical , а затем продолжите с -m high , -m medium и т. д. Скорее всего, в ваших результатах будут общие ключевые слова, которые будут совпадать со многими обычными событиями, поэтому после ручной проверки результатов и создания списка уникальных ключевых слов в одном файле вы можете создать сокращенную временную шкалу подозрительной активности с помощью такой команды, как grep -f keywords.txt timeline.csv .
Usage: pivot-keywords-list <INPUT> [OPTIONS]
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-J, --JSON-input Scan JSON formatted logs instead of .evtx (.json or .jsonl)
-w, --no-wizard Do not ask questions. Scan for all events and alerts
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Filtering:
-E, --EID-filter Scan only common EIDs for faster speed (./rules/config/target_event_IDs.txt)
-D, --enable-deprecated-rules Enable rules with a status of deprecated
-n, --enable-noisy-rules Enable rules set to noisy (./rules/config/noisy_rules.txt)
-u, --enable-unsupported-rules Enable rules with a status of unsupported
-e, --exact-level <LEVEL> Only load rules with a specific level (informational, low, medium, high, critical)
--exclude-computer <COMPUTER...> Do not scan specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--exclude-eid <EID...> Do not scan specific EIDs for faster speed (ex: 1) (ex: 1,4688)
--exclude-status <STATUS...> Do not load rules according to status (ex: experimental) (ex: stable,test)
--exclude-tag <TAG...> Do not load rules with specific tags (ex: sysmon)
--include-computer <COMPUTER...> Scan only specified computer names (ex: ComputerA) (ex: ComputerA,ComputerB)
--include-eid <EID...> Scan only specified EIDs for faster speed (ex: 1) (ex: 1,4688)
--include-status <STATUS...> Only load rules with specific status (ex: experimental) (ex: stable,test)
--include-tag <TAG...> Only load rules with specific tags (ex: attack.execution,attack.discovery)
-m, --min-level <LEVEL> Minimum level for rules to load (default: informational)
--timeline-end <DATE> End time of the event logs to load (ex: "2022-02-22 23:59:59 +09:00")
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
--timeline-start <DATE> Start time of the event logs to load (ex: "2020-02-22 00:00:00 +09:00")
Output:
-o, --output <FILENAME-PREFIX> Save pivot words to separate files (ex: PivotKeywords)
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
pivot-keywords-listhayabusa.exe pivot-keywords-list -d ../logs -m criticalkeywords-Ip Addresses.txt , keywords-Users.txt и т. д.): hayabusa.exe pivot-keywords-list -d ../logs -m critical -o keywords`
pivot-keywords-list Вы можете настроить ключевые слова, по которым хотите искать, отредактировав ./rules/config/pivot_keywords.txt . Эта страница является настройкой по умолчанию.
Формат: KeywordName.FieldName . Например, при создании списка Users hayabusa выводит все значения в полях SubjectUserName , TargetUserName и User .
search Команда search позволит вам выполнять поиск по ключевым словам по всем событиям. (Не только результаты обнаружения Hayabusa.) Это полезно для определения наличия каких-либо доказательств в событиях, которые не обнаружены Hayabusa.
Usage: hayabusa.exe search <INPUT> <--keywords "<KEYWORDS>" OR --regex "<REGEX>"> [OPTIONS]
Display Settings:
--no-color Disable color output
-q, --quiet Quiet mode: do not display the launch banner
-v, --verbose Output verbose information
General Options:
-C, --clobber Overwrite files when saving
-h, --help Show the help menu
-Q, --quiet-errors Quiet errors mode: do not save error logs
-x, --recover-records Carve evtx records from slack space (default: disabled)
-c, --rules-config <DIR> Specify custom rule config directory (default: ./rules/config)
--target-file-ext <FILE-EXT...> Specify additional evtx file extensions (ex: evtx_data)
-t, --threads <NUMBER> Number of threads (default: optimal number for performance)
Input:
-d, --directory <DIR> Directory of multiple .evtx files
-f, --file <FILE> File path to one .evtx file
-l, --live-analysis Analyze the local C:WindowsSystem32winevtLogs folder
Filtering:
-a, --and-logic Search keywords with AND logic (default: OR)
-F, --filter <FILTER...> Filter by specific field(s)
-i, --ignore-case Case-insensitive keyword search
-k, --keyword <KEYWORD...> Search by keyword(s)
-r, --regex <REGEX> Search by regular expression
--timeline-offset <OFFSET> Scan recent events based on an offset (ex: 1y, 3M, 30d, 24h, 30m)
Output:
-J, --JSON-output Save the search results in JSON format (ex: -J -o results.json)
-L, --JSONL-output Save the search results in JSONL format (ex: -L -o results.jsonl)
-M, --multiline Output event field information in multiple rows for CSV output
-o, --output <FILE> Save the search results in CSV format (ex: search.csv)
Time Format:
--European-time Output timestamp in European time format (ex: 22-02-2022 22:00:00.123 +02:00)
--ISO-8601 Output timestamp in ISO-8601 format (ex: 2022-02-22T10:10:10.1234567Z) (Always UTC)
--RFC-2822 Output timestamp in RFC 2822 format (ex: Fri, 22 Feb 2022 22:00:00 -0600)
--RFC-3339 Output timestamp in RFC 3339 format (ex: 2022-02-22 22:00:00.123456-06:00)
--US-military-time Output timestamp in US military time format (ex: 02-22-2022 22:00:00.123 -06:00)
--US-time Output timestamp in US time format (ex: 02-22-2022 10:00:00.123 PM -06:00)
-U, --UTC Output time in UTC format (default: local time)
search../hayabusa-sample-evtx ключевое слово mimikatz : 
