ketshash

Ketshash A little tool for detecting suspicious privileged NTLM connections, in particular Pass-The-Hash attack, based on event viewer logs. The tool was published as part of the "Pass-The-Hash detection" research - more details on "Pass-The-Hash detection" are in the blog post:...

DeepBlueCLI

DeepBlueCLI DeepBlueCLI - Windowsイベントログを介した脅威ハンティングのためのPowerShellモジュール Eric Conrad, Backshore Communications, LLC deepblue at backshore dot net Twitter: @ericconrad http://ericconrad.com サンプルのEVTXファイルは.\evtxディレクトリにあります 注:...

APT-Hunter

APT-Hunter APT-Hunterは、Windowsイベントログ向けのThreat Huntingツールであり、パープルチームの考え方に基づいて設計されています。Windowsイベントログの海に隠れたAPTの動きを検出し、疑わしいアクティビティを発見するまでの時間を短縮します。APT-Hunterは事前定義された検出ルールを使用し、統計に焦点を当てて異常を明らかにします。これは侵害評価において非常に効果的です。出力はタイムラインとともに生成され、Excel、Timeline Explorer、Timesketchなどで直接分析できます。...

OSSEM

オープンソースセキュリティイベントメタデータ OSSEM コミュニティ主導のプロジェクトで、主にセキュリティイベントログの文書化、標準化、モデリングに重点を置いています。 https://ossemproject.com/intro.html 目標 セキュリティイベントログのデータ標準化と変換を改善するための共通データモデルを定義・共有する セキュリティイベントログで特定されたデータ構造と関係性を定義・共有する コミュニティに対して、複数のセキュリティイベントログに関する詳細情報を辞書形式で提供する...

EVTX-ATTACK-SAMPLES

Muestras EVTX de Windows 200 ejemplos de EVTX: Este es un contenedor de muestras de eventos de Windows asociados a técnicas específicas de ataque y post-explotación. Puede ser útil para: Probar tus scripts de detección basados en el análisis de EVTX Entrenar en DFIR y caza de amenazas usando...

epagneul

epagneul Epagneul 是一款用于可视化和调查 Windows 事件日志的工具。 部署 需要安装 docker 和 docker-compose。 安装 root@kitploit: make 离线部署 在一台联网的机器上，构建一个离线发行版： root@kitploit: make release 这将创建一个包含随时可用的 docker 镜像的 release 文件夹。 将项目复制到你的隔离机器上，然后运行： root@kitploit: make load make 这将安装： epagneul Web 界面（端口 8080） epagneul 后端（端口 8000）...

evtx

EVTX A cross-platform parser for the Windows XML EventLog format Features 🔒 Implemented using 100% safe rust - and works on all platforms supported by rust that have stdlib. ⚡ Fast - see benchmarks below. It's faster than any other implementation by orders of magnitude! 🚀 Multi-threaded. ✨ Suppor...

ThreatHound

ThreatHound ThreatHound 是一款先进的网络安全工具，旨在实现高效的威胁检测与分析，专注于 Windows 事件日志。它提供了用户友好的界面来管理和分析安全数据。主要功能包括日志分析、Sigma 规则集成以及实时威胁检测。 主要特性： 针对 Windows 事件日志的威胁狩猎、受损评估和事件响应自动化 每日从源头下载并更新 Sigma 规则 包含超过 50 条内置检测规则 支持超过 2300 条 Sigma 检测规则 动态支持新的 Sigma 规则，并可将其加入检测规则库 轻松添加任何你偏好的检测规则 可轻松在 mapping.py 中添加新的事件日志源类型 Sigm...

EDRaser

EDRaser 使用指南 EDRaser 是一款功能强大的工具，用于远程删除目标机器上的访问日志、Windows 事件日志、数据库及其他文件。 它提供两种操作模式：自动模式和手动模式。 自动模式 在自动模式下，EDRaser 扫描指定 IP 地址段的 C 类网段，寻找易受攻击的系统并自动发起攻击。 自动模式下的攻击包括： 远程删除 Web 服务器日志。 删除 SysLog（Linux 系统）。 本地删除 Windows 应用程序事件日志。 远程删除 Windows 事件日志。 删除 VMX 和 VMDK 文件 要使用自动模式，请按照以下步骤操作： root@kitploit: pytho...

attack_monitor

Attack Monitor Attack Monitor is Python application written to enhance security monitoring capabilites of Windows 7/2008 and all later versions workstations/servers and to automate dynamic analysis of malware. Current modes mutually exclusive: Endpoint detection ED Malware analysis on dedicated...

aclpwn.py

aclpwn.py Aclpwn.py is a tool that interacts with BloodHound to identify and exploit ACL based privilege escalation paths. It takes a starting and ending point and will use Neo4j pathfinding algorithms to find the most efficient ACL based privilege escalation path. Aclpwn.py is similar to the...

chainsaw

快速搜索和狩猎 Windows 取证痕迹 Chainsaw 提供强大的“第一响应”能力，可快速识别 Windows 取证痕迹（如事件日志和 MFT 文件）中的威胁。Chainsaw 提供了一种通用且快速的方法，通过关键词搜索事件日志，并利用内置的 Sigma 检测规则支持以及自定义 Chainsaw 检测规则来识别威胁。 功能特性 🎯 使用 Sigma 检测规则和自定义 Chainsaw 检测规则狩猎威胁 🔍 通过字符串匹配和正则表达式模式搜索和提取取证痕迹 📅 通过分析 Shimcache 痕迹并用 Amcache 数据丰富它们来创建执行时间线 💡 分析 SRUM 数据库并提供相关见解...

github-logs

GitHub Logs 从 15TB 的 GitHub 事件日志中提取 OSINT 洞察 我们开发了 3 个 Trickest 工作流，它们处理并丰富了整个 GitHub 事件日志数据集，为我们提供了一些宝贵的见解。现在，整个社区都可以从这些结果中受益。 你知道吗？在公共 GitHub 平台上，恰好有 16 个 GitHub 用户拥有特殊的 siteadmin 状态。你有兴趣通过 grep 命令找出哪些用户与特定公司关联吗？或者，你想识别可能带来冒充或依赖混淆等风险的已删除用户帐户吗？也许你很好奇 GitHub 上按星标、复刻或关注者数量排名前 10 的最受欢迎仓库有哪些？...

evtx-baseline

evtx-baseline 一个托管示例良性软件（goodware）evtx 日志的仓库，其中包含示例软件安装和基本用户交互 捐赠 win10-client.tgz 由 @phantinuss 捐赠 win11-client.tgz 由 @frack113 捐赠 win7-x86.tgz 由 @pH-T 捐赠 win2022-evtx.tgz 由 @Neo23x0 捐赠 win2022-ad.tgz 由 @frack113 捐赠 win2022-0-20348-azure.tgz 由 @Neo23x0 捐赠 win11-client-2023.tgz 由 @nasbench 捐赠...

PT-2026-65862

Name of the Vulnerable Software and Affected Versions BlackBerry QNX affected versions not specified Description Improper input validation in the decode function of the traceparser library allows an attacker to use a corrupted kernel trace event log .kev file to execute arbitrary code or cause a...

PYSEC-2026-2354 Apache Airflow has an Authorization Bypass Through User-Controlled Key

The Event Log detail endpoint GET /api/v2/eventLogs/eventlogid in Apache Airflow fetched audit-log rows directly by numeric ID after only the generic Audit Log permission check, while the collection endpoint GET /api/v2/eventLogs applied per-Dag scoping. An authenticated UI/API user with audit-lo...

CVE-2026-12681

Improper Validation of Specified Index, Position, or Offset in Input vulnerability in Google go-attestation. parseEfiSignatureList does not advance the buffer past vendor bytes before reading entries. For hashSHA256SigGUID lists, this allows attacker-controlled vendor header bytes to be appended ...

CVE-2026-33566

There is a cypher injection issue in LogonTracer prior to v2.0.0. If specially crafted Windows event log data is loaded, the contents of the database may be altered...

Beyond Pass/Fail: Using Process Mining to Understand How LLMs Resist (And Fail) Red Team Attacks

Standard AI red teaming evaluations reduce adversarial campaigns to a single binary outcome, attack success rate ASR, not taking into account the sequential structure of how models resist or yield to attacks. We propose applying process mining, a discipline for discovering and analyzing process...

CVE-2026-46764

The Event Log detail endpoint GET /api/v2/eventLogs/eventlogid in Apache Airflow fetched audit-log rows directly by numeric ID after only the generic Audit Log permission check, while the collection endpoint GET /api/v2/eventLogs applied per-Dag scoping. An authenticated UI/API user with audit-lo...