Отличный инструмент для исследования логов, особенно крайне кривых и неудобных 💻 Windows EVTX
Проводит анализ на основе SIGMA правил (основные идут в комплекте)
Также работает с файлами .log, .xml, .json
⚙️ Установка:
git clone https://github.com/wagga40/Zircolite
cd Zircolite
pip3 install -r requirements.full.txt
Для Windows есть собранный бинарь
Примеры:
python3 zircolite.py --evtx system.evtx
python3 zircolite.py --evtx system.evtx --ruleset rules/rules_windows_sysmon_pysigma.json
python3 zircolite.py --events auditd.log --ruleset rules/rules_linux.json --auditd
python3 zircolite.py --events sysmon.log --ruleset rules/rules_linux.json --sysmon4linux
Обновление правил:
python3 zircolite.py -U
🗂 Тестовый EVTX
💻 Home
💻 Sigma
📔 Documentation
#dfir #forensics #zircolite #soft #python
✈️ Whitehat Lab 💬Chat