当前位置：首页 > news >正文

Hayabusa：一款针对Windows事件日志的威胁搜索与取证分析工具

news 来源：原创 2025/9/19 15:31:35

关于Hayabusa

Hayabusa是一款针对Windows事件日志的威胁搜索与取证分析工具，该工具基于内存安全的Rust开发，支持多线程运行，并且是唯一完全支持 Sigma 规范（包括 v2 关联规则）的开源工具。

Hayabusa本质上是一个Windows 事件日志快速取证时间线生成器和威胁搜寻工具，可以处理上游 Sigma规则的解析，以使规则加载更加灵活并减少误报。值得一提的是，Hayabusa 可以在单个运行系统上运行以进行实时分析，也可以通过从单个或多个系统收集日志进行离线分析。

功能介绍

1、威胁搜寻和企业范围的 DFIR：Hayabusa 目前拥有超过 4000 条 Sigma 规则和超过 170 条 Hayabusa 内置检测规则，并且会定期添加更多规则。；

2、快速取证时间线生成：与传统的 Windows 事件日志分析相比，Hayabusa 希望让分析师在 20% 的时间内完成 80% 的工作；

工具安装

源码获取

广大研究人员可以直接使用下列命令将该项目源码克隆至本地：

git clone https://github.com/Yamato-Security/hayabusa.git --recursive

然后切换到项目目录中，使用下列命令更新rules文件夹并获球最新的Hayabusa规则：

hayabusa.exe update-rules

发布版本安装

我们还可以直接访问该项目的【Releases页面】下载预编译的CNAPPgoat 版本。

工具使用

分析命令

computer-metrics：根据计算机名称打印事件的数量；

eid-metrics：根据事件ID打印事件的数量和百分比；

expand-list：expand从文件夹中提取占位符rules；

extract-base64：从事件中提取并解码 base64 字符串；

log-metrics：打印日志文件指标；

logon-summary：打印登录事件的摘要；

pivot-keywords-list：打印一份可疑关键词列表以供参考；

search：通过关键字或正则表达式搜索所有事件；

DFIR 时间线命令

csv-timeline：以 CSV 格式保存时间线；

json-timeline：以 JSON/JSONL 格式保存时间线；

level-tuning：自定义调整警报等级；

list-profiles：列出可用的输出配置文件；

set-default-profile：更改默认配置文件；

update-rules：将规则同步到hayabusa-rules GitHub 存储库中的最新规则；

常规命令

help：打印此消息或给定子命令的帮助；

list-contributors：打印贡献者列表；

工具运行演示

启动

DFIR 时间线终端输出

关键字搜索结果

检测频率时间线（-T选项）

结果摘要

HTML 结果摘要（-H选项）

使用 Elastic Stack 仪表板进行分析

许可证协议

本项目的开发与发布遵循AGPL-3.0开源许可协议。

项目地址

Hayabusa：【GitHub传送门】

参考资料

https://detect.fyi/hunting-with-hayabusa-tool-showcase-aafef7434413

https://mahim-firoj.medium.com/incident-response-and-threat-hunting-using-hayabusa-tool-383da273183a

Find Threats in Event Logs with Hayabusa - by Eric Capuano

hayabusa/doc/RustPerformance-English.md at main · Yamato-Security/hayabusa · GitHub

Hayabusa：一款针对Windows事件日志的威胁搜索与取证分析工具

关于Hayabusa Hayabusa是一款针对Windows事件日志的威胁搜索与取证分析工具，该工具基于内存安全的Rust开发，支持多线程运行，并且是唯一完全支持 Sigma 规范（包括 v2 关联规则）的开源工具。 Hayabusa本质上是一个Windo…...

编程日记 2025/9/19 15:31:35

leetcode_位运算 190.颠倒二进制位

190. 颠倒二进制位颠倒给定的 32 位无符号整数的二进制位。 1. 字符串 class Solution:# param n, an integer# return an integerdef reverseBits(self, n):res "" # 创建一个保存结果的空字符串for b in str(bin(n))[2:]:# 遍历n的二进制数res b res # 把每…...

编程日记 2025/9/19 15:30:17

O1 Embedder：让检索器思考后再行动

25年2月来自中科大和北京智源研究院的论文“O1 Embedder: Let Retrievers Think Before Action”。大语言模型 (LLM) 的功能日益强大，彻底改变人们获取和利用信息的方式。值得注意的是，LLM 擅长执行细粒度数据表示，这有助于精确检索信息。它…...

编程日记 2025/9/18 20:40:49

Python项目中一些常用的关键字

数据定义与类型相关 int：表示整数类型。 float：用于表示浮点数类型。 str：字符串类型，用于处理文本数据。 bool：布尔类型，取值为True或False。 list：列表类型，可存储多个元素&am…...

编程日记 2025/9/19 15:28:43

Java 反射 (Reflection) 详解

一、什么是 Java 反射？ Java 反射 (Reflection) 是 Java 语言的一个强大特性，它允许在运行时检查和修改类、接口、字段和方法的信息，而不需要在编译时知道这些信息。换句话说，反射可以让你在程序运行过程中“动态”地获取类的…...

编程日记 2025/9/18 15:53:04

MicroPython使用ESP32和acs712模块测量电流

我们在做物联网应用时，电流检测是监控设备能耗、优化电源管理的重要手段，本文介绍如何利用MicroPython开发ESP32与ACS712霍尔电流传感器模块，实现高精度电流测量，并提供硬件连接、代码实现及校准方法，适用于智能家居、…...

编程日记 2025/9/19 11:07:21

Rust编程语言入门教程（七）函数与控制流

Rust 系列 🎀Rust编程语言入门教程（一）安装Rust🚪 🎀Rust编程语言入门教程（二）hello_world🚪 🎀Rust编程语言入门教程（三） Hello Cargo&#x1f…...

编程日记 2025/9/18 20:28:18

pdf预览在vue项目中的使用兼容ie浏览器

一、下载pdf预览插件链接: https://pan.baidu.com/s/1wuzay-saAfiqtS-efd-cvw?pwd6m78 提取码: 6m78 二、创建一个pdf文件夹，将下载下来的文件build和web文件夹复制到pdf文件夹下三、项目中使用 (路径由两部分组成，第一部分是项目存放pdf插件的路径…...

编程日记 2025/9/19 2:55:54

二级指针略解【C语言】

以int** a为例 1.二级指针的声明 a 是一个指向 int*（指向整型的指针）的指针，即二级指针。通俗的讲，a是一个指向指针的指针，对a解引用会是一个指针。它可以用于操作动态分配的二维数组、指针数组或需要间接修改指针…...

编程日记 2025/9/19 0:37:42

前端基础入门：HTML、CSS 和 JavaScript

在现代网页开发中，前端技术扮演着至关重要的角色。无论是个人网站、企业官网，还是复杂的 Web 应用程序，前端开发的基础技术 HTML、CSS 和 JavaScript 都是每个开发者必须掌握的核心技能。本文将详细介绍这三者的基本概念及其应用一、HTML——网页的骨架 HTML（HyperText …...

编程日记 2025/9/14 13:43:15

测试 FreeSWITCH 的 sip_invite_route_uri

bgapi originate sofia/external/123461.132.230.73:5161 &echo 得到的是： 172.17.129.123:5088 -> 61.132.230.73:5161 INVITE sip:123461.132.230.73:5161 SIP/2.0 Via: SIP/2.0/UDP 8.141.11.8:5088;rport;branchz9hG4bKcagQFyUgF21NS Max-Forwards: 70 …...

编程日记 2025/9/15 11:29:47

网络安全中的机器学习

当涉及到网络安全时，技术一直是保护系统免受攻击和数据泄露的关键。在这篇论文中，我将介绍一些当前在网络安全领域使用的关键技术，包括加密，身份验证和防火墙。首先，加密是网络安全中最常见的技术之一。加密是指使用算…...

编程日记 2025/9/17 23:08:25

Electron通过ffi-napi调用dll导出接口

electron使用ffi-napi环境搭建附打包好的ffi-napi可以直接放到项目目录下使用，避免以后麻烦一、安装node.js Node.js官网：https://nodejs.org/zh-cn/download，选择LTS长期稳定版本即可需要注意Node.js 区分32和64位，32位版…...

编程日记 2025/9/14 19:52:16

使用 DeepSeek + 语音转文字工具实现会议整理

目录简述 1. DeepSeek与常用的语音转文字工具 1.1 DeepSeek 1.2 讯飞听见 1.3 飞书妙记 1.4 剪映电脑版 1.5 Buzz 2. 安装Buzz 3. 使用DeepSeek Buzz提取并整理语音文字 3.1 使用 Buzz 完成语音转文字工作 3.2 使用 DeepSeek 进行文本处理工作 3.3 整理成思维导图…...

编程日记 2025/9/15 19:27:47

RAGFLOW使用flask转发的open ai接口

flask转发openai标准接口背景搭建RAGFLOW 的过程中，遇到一个比较严重的问题，公司部署的大模型代理需要获取token，且token存在有效期5分钟，在RAGFLOW中不能直接用，所以希望通过flask项目转发请求。方案比较好的…...

编程日记 2025/9/18 12:03:57

语音芯片非隔离电源供电WT5104

语音芯片非隔离电源供电WT5104 语音芯片供电非隔离电源芯片 WT5104 介绍在语音相关设备的运行中，稳定的电源供应是确保语音芯片正常工作、实现高质量语音交互的关键。WT5104 作为一款专为多种设备供电设计的非隔离电源芯片，能将常见的 220V 交流电高效转…...

编程日记 2025/9/18 4:26:17

P8752 [蓝桥杯 2021 省 B2] 特殊年份——string提取索引转换为值

这里写目录标题链接题目代码大佬解答string提取索引转换为值链接 P8752 [蓝桥杯 2021 省 B2] 特殊年份题目代码 #include <iostream> #include <vector> #include <string> #include <algorithm> #include <math.h> #include <queue&g…...

编程日记 2025/9/18 17:49:04

玩机日记 12 群晖部署AList并配置SSL，安装opkg，使用rclone挂载到本地

目录 1、部署alist，配置ssl 安装alist 参考官方文档添加网盘配置ssl 开启webdav访问 2、安装opkg 修改环境变量添加计划任务 3、安装配置rclone挂载alist 安装rclone，新建remote 安装fuse3 挂载AList 添加计划任务 1、部署alist&#xff0…...

编程日记 2025/9/18 2:14:34

Fastgpt学习（5）- FastGPT 私有化部署问题解决

1.☺ 问题描述： Windows系统，本地私有化部署，postgresql数据库镜像日志持续报错" data directory “/var/lib/postgresql/data” has invalid permissions "，“ DETAIL: Permissions should be urwx (0700) or urwx,gr…...

编程日记 2025/9/16 11:01:47

我们来学nginx -- work process

题记回看困惑工作进程能处理大量的并发请求几乎不会阻塞Worker进程可绑定到固定的核，避免CPU频繁地上下文切换看样子，还得转为人话大白话作为一般的应用的开发大部分人没有很强的底层技术基础如果深究，涉及复杂技术点，很容易…...

编程日记 2025/9/17 3:17:51

2000-2019年各省农业机械总动力数据

2000-2019年各省农业机械总动力数据 1、时间：2000-2019年 2、指标：行政区划代码、地区、年份、农业机械总动力(万千瓦) 3、范围：31省 4、来源：国家统计局、统计年鉴 5、指标解释：‌农业机械总动力‌是指主要用于农…...

编程日记 2025/9/19 4:39:08

Nginx 常用命令和部署详解及案例示范

一、Nginx常用命令 1.1 启动 Nginx 要启动 Nginx 服务，可以使用以下命令： sudo systemctl start nginx1.2 停止 Nginx 如果需要停止 Nginx 服务，可以使用以下命令： sudo systemctl stop nginx1.3 重启 Nginx 在修改了 Nginx…...

编程日记 2025/9/17 3:17:48

从零开始用STM32驱动DRV8301：无人机/机器人电机控制指南

系列文章目录 1.元件基础 2.电路设计 3.PCB设计 4.元件焊接 5.板子调试 6.程序设计 7.算法学习 8.编写exe 9.检测标准 10.项目举例 11.职业规划文章目录一、为什么需要专业电机驱动？二、硬件架构深度解析2.1 STM32微控制器核心作用2.2 DRV8301三大核心功能功能…...

编程日记 2025/9/18 12:33:48

HTML5 面试题

1. HTML5 新增了哪些重要特性？ 语义化标签：这些标签有助于提高页面的可读性和可维护性。多媒体支持：HTML5 引入了和标签，可以直接嵌入音频和视频文件，无需依赖插件。本地存储：引入了 localStorage 和 se…...

编程日记 2025/9/18 19:44:17

获取指定的python库安装路径

DataBall 助力快速掌握数据集的信息和使用方式，会员享有百种数据集，持续增加中。需要更多数据资源和技术解决方案，知识星球： “DataBall - X 数据球(free)” 贵在坚持！ ---------------------------------------…...

编程日记 2025/9/18 9:56:28

C语言预处理学习笔记

1. 预处理器的功能预处理器（Preprocessor）在编译C语言程序之前对源代码进行预处理。预处理指令以#号开头，主要包括文件包含、宏定义、条件编译等功能。 2. 文件包含文件包含功能用于在一个文件中包含另一个文件的内容，通常用…...

编程日记 2025/9/19 4:26:37

动态内存分配算法对比：最先适应、最优适应、最坏适应与邻近适应

动态内存分配算法对比：最先适应、最优适应、最坏适应与邻近适应在操作系统中，动态内存分配算法用于管理空闲内存块的分配和回收。最先适应算法（First Fit）、最优适应算法（Best Fit）和最坏适应算法&#x…...

编程日记 2025/9/18 15:17:25

Flutter 常见布局模型

Flutter的常见的布局模型有容器（Container）、弹性盒子布局（Flex、Row、Column、Expanded）、流式布局（Wrap、Flow）、层叠布局（Stack、Position）、滚动布局（ListView、Grid…...

编程日记 2025/9/19 11:54:29

数据结构系列一：初识集合框架+复杂度

前言数据结构——是相互之间存在一种或多种特定关系的数据元素的集合。数据结构是计算机专业的基础课程，但也是一门不太容易学好的课，它当中有很多费脑子的东西，之后在学习时，你若碰到了困惑或不解的地方都是很正常的反应&…...

编程日记 2025/9/18 23:37:34

文献阅读 250220-Convective potential and fuel availability complement near-surface

Convective potential and fuel availability complement near-surface weather in regulating global wildfire activity 来自 <https://www.science.org/doi/10.1126/sciadv.adp7765> ## Abstract: 炎热、干燥、多风、无雨的条件有利于野火——这种关于火灾天气的知识为…...

编程日记 2025/9/17 2:15:16

ASP.NET JWT认证失败响应：从默认到自定义的优雅改造

本文主要介绍如何通过ASP.NET Core的JwtBearerEvents机制，实现JWT认证失败响应的深度定制。 1. 背景在之前的文章《一个简单的ASP.NET一致性返回工具库》中，我们介绍了 Sang.AspNetCore.CommonLibraries 这一通用库，它通过统一API响应模型…...

编程日记 2025/9/17 2:15:15

AI大模型生成Logo图形商标，快速可选性强！

在申请注册商标时，不仅有文字商标，还有图形商标，及文字和图形的组合商标，如何更好的实现快速出图和对图形描述的要求，普推知产商标老杨近期也是研究测试了各种大模型。最后选了AI模型本地部署及API接入生成图形商标的…...

编程日记 2025/9/17 19:12:19

Python爬虫实战：爬取豆瓣电影

目录引言 1. 爬虫基础 1.1 什么是爬虫？ 1.2 Python爬虫常用库 2. 实战：抓取豆瓣电影Top250 2.1 安装依赖库 2.2 发送HTTP请求编辑 2.3 解析HTML 编辑 2.4 存储数据 2.5 完整代码 3. 进阶：处理分页和动态内容 3.1 抓取多页…...

编程日记 2025/9/17 5:52:54

嵌入式0xDEADBEEF

在嵌入式系统中，0xDEADBEEF 是一个常见的“魔数”（magic number），通常用于调试和内存管理。它的含义和用途如下： 1. 调试用途未初始化内存的标记：在调试时，0xDEADBEEF 常用于标记未初始化或已…...

编程日记 2025/9/17 2:15:09

python入门笔记5-集合与字典

元组 Python 的元组（tuple，简写为tup）与列表类似，不同之处在于元组的元素不能修改。元组使用小括号()，列表使用方括号[]。好处就是节省内存。集合集合是无序、不重复元素的容器。用 {} 或 set() 创建…...

编程日记 2025/9/17 2:15:07

Nginx（详解以及如何使用）

目录 1. 什么是Nginx？ 2. 为什么使用nginx? 3. 安装nginx 3.1?安装nginx的依赖插件 3.2 下载nginx ?3.3?创建一个目录作为nginx的安装路径 ?3.4?解压 ?3.5?进入解压后的目录 3.6?指定nginx的安装路径 ?3.7?编译和安装nginx 3.8 启动nginx ?…...

编程日记 2025/9/18 16:09:23

java每日精进 2.20 MQ相关复健

在 RabbitMQ 中，消息消费者对消息的签收（acknowledgment）可以通过三种方式进行管理：自动签收、手动签收和拒绝签收。它们主要控制消费者如何处理消息确认和消息的重新排队。下面详细讲解它们的区别，并通过代码示例展…...

编程日记 2025/9/18 2:57:49

微信小程序地图map全方位解析

微信小程序地图map全方位解析微信小程序的 <map> 组件是一个功能强大的工具，可以实现地图展示、定位、标注、路径规划等多种功能。以下是全方位解析微信小程序地图组件的知识点： 一、地图组件基础 1. 引入 <map> 组件在页面的 .wxml 文…...

编程日记 2025/9/12 7:02:10

Windows隐藏窗口/开机自启动

目录使用Start-Process命令控制窗口状态设置程序开机自启动使用Start-Process命令控制窗口状态隐藏窗口运行程序使用Start-Process命令时，可以通过-WindowStyle Hidden参数让程序在后台运行，窗口不可见。例如： Start-Process D:\note…...

编程日记 2025/9/18 17:29:21

量子计算的威胁，以及企业可以采取的措施

当谷歌、IBM、Honeywell和微软等科技巨头纷纷投身量子计算领域时，一场技术军备竞赛已然拉开帷幕。量子计算虽能为全球数字经济带来巨大价值，但也有可能对相互关联的系统、设备和数据造成损害。这一潜在影响在全球网络安全领域引起了强烈关注。也正因如…...

编程日记 2025/9/18 13:47:41

日期类（完全讲解版）

1. 类的设计思想 Date 类的设计目的是为了封装和处理日期信息，它提供了对日期的基本操作，如日期加减、日期比较、日期合法性检查等。类中的私有成员 int _year, int _month, int _day 存储了日期的年、月、日。类的声明和构造 Date 类的声明&#xff1…...

编程日记 2025/9/14 1:11:18

在线考试系统的公平性和高效性如何保证

随着互联网技术的飞速发展，线上教育已成为现代教育体系中的重要组成部分。而在线考试系统作为线上教育的重要环节，其公平性和高效性成为了广大教育工作者和考生关注的焦点。本文将深入探讨在线考试系统如何保证考试的公平性和高效性，以期为线…...

编程日记 2025/9/16 3:59:47

Spring AI + Ollama 实现调用DeepSeek-R1模型API

一、前言随着人工智能技术的飞速发展，大语言模型（LLM）在各个领域的应用越来越广泛。DeepSeek 作为一款备受瞩目的国产大语言模型，凭借其强大的自然语言处理能力和丰富的知识储备，迅速成为业界关注的焦点。无论是文本生…...

编程日记 2025/9/18 20:25:57

基于spring的策略模式

集合spring框架的是策略模式，直接上代码 1、接口 public interface PaymentStrategy {//支付接口void pay(double amount);}2、实现类 2.1 实现类一 Component("creditCard") //作为区分的标识 public class CreditCardPayment implements PaymentStr…...

编程日记 2025/9/18 13:11:41

面试编程题

1. 请写出string类的定义，要求有构造函数，析构函数，拷贝，赋值函数。 #include <cstring> #include <algorithm>class String { public:explicit String(const char* str nullptr){if(str){str_ new char[strlen(st…...

编程日记 2025/9/18 15:50:42

AI工具讲解

推荐超级课程： 本地离线DeepSeek AI方案部署实战教程【完全版】Docker快速入门到精通Kubernetes入门到大师通关课AWS云服务快速入门实战目录模型管理OllamaHugging Face区别 AI模型交互应用程序AnythingLLMCherry Studio AI开发相关Python库模型管理 Ollama h…...

编程日记 2025/9/18 21:14:33

计算机网络：应用层 —— 动态主机配置协议 DHCP

文章目录什么是 DHCP？DHCP 的产生背景DHCP 的工作过程工作流程地址分配机制 DHCP 中继代理总结什么是 DHCP？ 动态主机配置协议（DHCP，Dynamic Host Configuration Protocol）是一种网络管理协议，用于自动分…...

编程日记 2025/9/17 5:18:35

基于Spring Boot，结合Redis缓存和RabbitMQ消息队列的站内信系统设计

1. 添加依赖在pom.xml中添加必要的依赖： <dependencies><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-web</artifactId></dependen…...

编程日记 2025/9/19 13:39:28

【JAVA：list中再定义一个list对象，循环赋值不同的list数据，出现追加重复数据问题】

问题描述： list中再定义一个list对象，循环赋值不同的list数据，结果全部都累加到每条数据中了，每条数据中都出现重复数据。问题解决： 1.创建树结构方法信息 2.创建一个新的 List 对象，避免引用问题 3.使…...

编程日记 2025/9/19 13:28:10

系统思考—价格策略

“我们之所以犯错，是因为我们没有意识到自己处在错误的思维模式中。” —— 卡尔波普尔（哲学家，批判理性主义的创始人） 最近和小伙伴们聊到定价这个变量，深刻感受到系统思考的强大力量。记得在MIT经典沙盘《人民航空经…...

编程日记 2025/9/18 11:19:57