Hayabusa — это инструмент для быстрого анализа журналов событий Windows, ориентированный на создание временных шкал. Данная утилита использует правила Sigma для обнаружения атак и предоставляет удобные средства для анализа данных.
⚡️ Быстрый старт с Hayabusa
1️⃣ Установка утилиты
Скачайте последнюю версию Hayabusa с официальной страницы релизов на GitHub:
https://github.com/Yamato-Security/hayabusa/releases
2️⃣ Запуск утилиты
После загрузки и распаковки архива выполните команду для запуска утилиты:
hayabusa.exe
3️⃣ Основные команды
⏺️ csv-timeline: Создает временную шкалу событий в формате CSV.
hayabusa.exe csv-timeline -f eventlog.evtx
⏺️ json-timeline: Создает временную шкалу событий в формате JSON или JSONL.
hayabusa.exe json-timeline -f eventlog.evtx
⏺️ logon-summary: Выводит сводку по событиям входа в систему.
hayabusa.exe logon-summary -f eventlog.evtx
⏺️ search: Выполняет поиск по ключевым словам или регулярным выражениям в событиях.
hayabusa.exe search -f eventlog.evtx -k "mimikatz"
4️⃣ Пример запуска анализа
Для создания временной шкалы событий из файла eventlog.evtx в формате CSV выполните команду:
hayabusa.exe csv-timeline -f eventlog.evtx -o timeline.csv
🔍 Возможности анализа
• Фильтрация по времени: Укажите диапазон дат для анализа.
hayabusa.exe csv-timeline -f eventlog.evtx --timeline-start "2025-01-01 00:00:00" --timeline-end "2025-01-31 23:59:59"
• Использование профилей: Выберите профиль для настройки уровня детализации.
hayabusa.exe csv-timeline -f eventlog.evtx -p verbose
• Включение фильтра по Event ID: Ускоряет анализ, но может пропустить некоторые предупреждения.
hayabusa.exe csv-timeline -f eventlog.evtx -E
• Запуск только встроенных правил: Используйте встроенные правила для анализа.
hayabusa.exe csv-timeline -f eventlog.evtx -r rules/builtin