Zircolite

Standalone SIGMA-Based Detection Tool for EVTX, Auditd, Sysmon for Linux, XML, CSV, or JSONL/NDJSON Logs Zircolite applies Sigma detection rules to: MS Windows EVTX EVTX, XML, and JSONL formats Auditd logs Sysmon for Linux EVTXtract CSV and XML logs JSON Array logs Key Features Format detection :...

evtx

EVTX A cross-platform parser for the Windows XML EventLog format Features 🔒 Implemented using 100% safe rust - and works on all platforms supported by rust that have stdlib. ⚡ Fast - see benchmarks below. It's faster than any other implementation by orders of magnitude! 🚀 Multi-threaded. ✨ Suppor...

evtx

EVTX Windows XML 이벤트 로그 형식을 위한 크로스 플랫폼 파서 기능 🔒 100% 안전한 Rust로 구현 — Rust가 지원하는 모든 플랫폼stdlib 포함에서 작동합니다. ⚡ 빠름 — 아래 벤치마크를 참조하세요. 다른 구현체보다 몇 배 더 빠릅니다! 🚀 멀티스레드 지원. ✨ XML 및 JSON 출력 지원. 둘 다 공유 중간 표현IR에서 직접 구성됩니다xml2json 변환 없음!. ⛏️ 누락된 레코드/청크의 기본적인 복구를 지원합니다! 🐍 Python 바인딩도 제공:...

EVTX-ATTACK-SAMPLES

Windows EVTX 샘플 EVTX 예제 200개: 특정 공격 및 사후 악용post-exploitation 기법과 연관된 Windows 이벤트 샘플을 담은 컨테이너입니다. 다음과 같은 용도로 유용할 수 있습니다: EVTX 파싱 기반 탐지 스크립트 테스트 이벤트 로그를 활용한 DFIR 및 위협 헌팅 교육 Windows 및 Sysmon 이벤트 로그를 사용한 탐지 사용 사례 설계 레드팀원이라면 시끄러운noisy 기법 회피/우회 참고: 매핑은 ATT&CK 기법절차 아님 수준에서 수행되었습니다. MITRE 전술에 매핑된 EVTX 콘텐...

winevt_logs_analysis

Winevt logs analysis Remote connections Simple script for the purpose of finding remote connections to Windows machine and ideally some public IPs. It checks for some EventIDs regarding remote logins and sessions. You should pip install -r requirements.txt so the script can work and parse some of...

LogHound

LogHound BloodHound 매핑을 위한 포스트 익스플로잇 EVTX 분석기 LogHound는 Windows 보안 이벤트 로그.evtx를 수집하고 파싱하여 인증 이벤트, 세션 데이터 및 로그온 메타데이터를 추출하고, 이를 BloodHound에 주입하며 더 깊은 공격자 원격 측정adversarial telemetry을 제공합니다. 개요 및 설계 배경 LogHound는 레드 팀과 네트워크 침투 테스터를 위한 특정 문제를 해결하기 위해 제작되었습니다: 운영 보안OpSec을 손상시키지 않으면서 측면 이동lateral moveme...

epagneul

epagneul Epagneul은 Windows 이벤트 로그를 시각화하고 조사하는 도구입니다. 배포 docker와 docker-compose가 설치되어 있어야 합니다. 설치 make 오프라인 배포 인터넷에 연결된 머신에서 오프라인 릴리스를 빌드합니다: make release 그러면 release 폴더가 생성되며, 여기에는 바로 실행 가능한 docker 이미지가 포함됩니다. 프로젝트를 네트워크가 차단된 머신에 복사한 후 다음 명령을 실행합니다: make load make 이 명령은 다음을 설치합니다: epagneul 웹 UI 포...

beagle

Beagle 1. About Beagle 2. Installation 1. Docker 2. Python Package 3. Configuration 3. Web Interface 1. Uploading Data 2. Browsing Existing Graphs 3. Graph Interface 1. Inspecting Nodes and Edges 2. Expanding Neighbours 3. Hiding Nodes 4. Running Mutators 5. Toggling Node and Edge Types 6...

Grafiki

Grafiki Grafiki는 현재 Sysmon과 그래프에 관한 Django 프로젝트입니다. 제 생각에 EventViewer, Elastic, 심지어 Kibana도 충분히 그래픽적이지 않습니다. 현재 위협은 복잡하며, 공격자가 그래프로 생각한다면 방어자도 그렇게 해야 합니다. 이것은 개념 증명이며, 코드는 아직 디버깅되지 않았지만 누군가에게 유용할 수 있으므로 개선하겠습니다. 이 프로젝트는 EVTX를 SQL 데이터베이스로 파싱하는 것으로 시작했으며, 이것이 프로젝트의 핵심일 수 있습니다. 목표 EVTX 파일 및 URL에서...

DeepBlueCLI

DeepBlueCLI DeepBlueCLI – 위협 헌팅을 위한 Windows 이벤트 로그 기반 PowerShell 모듈 Eric Conrad, Backshore Communications, LLC deepblue at backshore dot net 트위터: @ericconrad http://ericconrad.com 샘플 EVTX 파일은 .\evtx 디렉터리에 있습니다. 참고 다운로드 후 바이러스 백신이 DeepBlueCLI에 반응하는 경우, 이는 .\evtx 디렉터리에 포함된 EVTX 파일악성 공격의 명령줄 로그 등 아티...

CVE-2020-1472-visualizer

CVE-2020-1472 Event Reader v1.1 8/27/2020 이 스크립트는 다음을 수행합니다: 1. 입력 파일 폴더에서 시스템 evtx를 스캔하여 이벤트 5827, 5828, 5829, 5830, 5831 및 정확한 데이터 필드를 찾아 582-.CSV로 내보냅니다. 2. Excel을 호출하여 결과 582-.CSV를 가져오고, 일반적인 보안 RPC 분석 시나리오에 대한 피벗 테이블을 만듭니다. 이후 582-.CSV를 삭제합니다. 필요에 맞게 자유롭게 수정하십시오. 스크립트는 관리자를 돕기 위해 최선을 다해...

SentinelThread-Forensics

🛡️ Sentinel Thread Pro 고속 윈도우 포렌식 트라이지 플랫폼 📋 미션 현대 SOC 운영에서 수동 EVTX 분석은 MTTR평균 대응 시간에 치명적입니다. Sentinel Thread Pro 는 대량의 원시 이벤트 로그와 실행 가능한 포렌식 인텔리전스 사이의 간극을 메우기 위해 설계되었습니다. Hayabusa 엔진Rust 기반과 파이썬 데이터 파이프라인을 조율하여, 수천 개의 노이즈가 많은 이벤트를 몇 초 만에 깔끔하고 우선순위가 매겨진 위협 타임라인으로 변환합니다. 🚀 주요 엔지니어링 기능 초고속 트라이지:...

dfir-toolkit

!CAUTION DFIR Toolkit이가 github를 떠납니다 이유는? 우리는 모든 인간여성, 남성, 그 사이와 그 이상의 모든 인간은 평등하게 태어난다고 믿습니다. 이러한 관점에서 출신지, 언어, 피부색, 종교 또는 그 밖의 어떤 것으로 사람을 판단하는 것은 타당하지 않습니다. 우리는 당신이 누구인지는 당신이 하는 행동으로 만들어진다고 믿습니다. 다른 사람에게 다정하게 대한다면, 그것이 바로 당신입니다. 다른 사람에게 해를 끼친다면, 그것이 바로 당신입니다. 우리는 미국에서 현재 일어나고 있는 일에 대해 우려하고 있습니다...

evtx-baseline

evtx-baseline 샘플 소프트웨어 설치 및 기본 사용자 상호작용이 포함된 예시 정상 소프트웨어Goodware EVTX 로그를 호스팅하는 저장소입니다. 기부 win10-client.tgz - @phantinuss 제공 win11-client.tgz - @frack113 제공 win7-x86.tgz - @pH-T 제공 win2022-evtx.tgz - @Neo23x0 제공 win2022-ad.tgz - @frack113 제공 win2022-0-20348-azure.tgz - @Neo23x0 제공...

CVE-2026-7572

An off-by-one error CWE-193 in the ConsumeUnit16Array and ConsumeUnit64Array functions in Velocidex Velociraptor before version 0.76.5 on Windows and Linux allows a local attacker to cause a Denial of Service DoS via a process crash by providing a specially crafted .evtx file to the parseevtx VQL...

SUSE CVE-2026-7572

An off-by-one error CWE-193 in the ConsumeUnit16Array and ConsumeUnit64Array functions in Velocidex Velociraptor before version 0.76.5 on Windows and Linux allows a local attacker to cause a Denial of Service DoS via a process crash by providing a specially crafted .evtx file to the parseevtx VQL...

Off-by-one Error

Overview Affected versions of this package are vulnerable to Off-by-one Error in the ConsumeUnit16Array and ConsumeUnit64Array functions. An attacker can cause a process crash by supplying a specially crafted .evtx file to the parseevtx VQL plugin on Windows and Linux systems. Remediation A fix w...

GHSA-6CMP-QV2F-X97X Velocidex Velociraptor has an off-by-one error

An off-by-one error CWE-193 in the ConsumeUnit16Array and ConsumeUnit64Array functions in Velocidex Velociraptor before version 0.76.5 on Windows and Linux allows a local attacker to cause a Denial of Service DoS via a process crash by providing a specially crafted .evtx file to the parseevtx VQL...

Velocidex Velociraptor has an off-by-one error

An off-by-one error CWE-193 in the ConsumeUnit16Array and ConsumeUnit64Array functions in Velocidex Velociraptor before version 0.76.5 on Windows and Linux allows a local attacker to cause a Denial of Service DoS via a process crash by providing a specially crafted .evtx file to the parseevtx VQL...

CVE-2026-7572

An off-by-one error CWE-193 in the ConsumeUnit16Array and ConsumeUnit64Array functions in Velocidex Velociraptor before version 0.76.5 on Windows and Linux allows a local attacker to cause a Denial of Service DoS via a process crash by providing a specially crafted .evtx file to the parseevtx VQL...