evtx

EVTX A cross-platform parser for the Windows XML EventLog format Features 🔒 Implemented using 100% safe rust - and works on all platforms supported by rust that have stdlib. ⚡ Fast - see benchmarks below. It's faster than any other implementation by orders of magnitude! 🚀 Multi-threaded. ✨ Suppor...

OSSEM

오픈 소스 보안 이벤트 메타데이터 OSSEM 커뮤니티 주도 프로젝트로, 주로 보안 이벤트 로그의 문서화, 표준화 및 모델링에 초점을 맞추고 있습니다. https://ossemproject.com/intro.html 목표 보안 이벤트 로그의 데이터 표준화 및 변환을 개선하기 위해 공통 데이터 모델을 정의하고 공유합니다. 보안 이벤트 로그에서 식별된 데이터 구조 및 관계를 정의하고 공유합니다. 커뮤니티에 여러 보안 이벤트 로그에 대한 사전 형식의 상세 정보를 제공합니다. 보안 이벤트 로그Windows, Linux, MacOS,...

epagneul

epagneul Epagneul은 Windows 이벤트 로그를 시각화하고 조사하는 도구입니다. 배포 docker와 docker-compose가 설치되어 있어야 합니다. 설치 root@kitploit: make 오프라인 배포 인터넷에 연결된 머신에서 오프라인 릴리스를 빌드합니다: root@kitploit: make release 그러면 release 폴더가 생성되며, 여기에는 바로 실행 가능한 docker 이미지가 포함됩니다. 프로젝트를 네트워크가 차단된 머신에 복사한 후 다음 명령을 실행합니다: root@kitploit: ma...

ThreatHound

ThreatHound ThreatHound는 Windows 이벤트 로그에 대한 효율적인 위협 탐지 및 분석을 용이하게 하도록 설계된 고급 사이버 보안 도구입니다. 보안 데이터를 관리하고 분석하기 위한 사용자 친화적인 인터페이스를 제공합니다. 주요 기능으로는 로그 분석, Sigma 규칙 통합, 실시간 위협 탐지가 포함됩니다. 주요 기능: Windows 이벤트 로그에 대한 위협 헌팅, 침해 평가, 침해 대응 자동화 소스에서 Sigma 규칙을 매일 다운로드 및 업데이트 포함된 50개 이상의 탐지 규칙 Sigma용 2300개 이상의 ...

EDRaser

EDRaser 사용 가이드 EDRaser는 원격 시스템에서 액세스 로그, Windows 이벤트 로그, 데이터베이스 및 기타 파일을 원격으로 삭제하는 강력한 도구입니다. 자동 및 수동 두 가지 작동 모드를 제공합니다. 자동 모드 자동 모드에서 EDRaser는 주어진 IP 주소 공간의 C 클래스를 스캔하여 취약한 시스템을 찾아 자동으로 공격합니다. 자동 모드의 공격은 다음과 같습니다: 웹 서버 로그의 원격 삭제. SysLog 삭제 Linux에서. Windows 애플리케이션 이벤트 로그의 로컬 삭제. Windows 이벤트 로그의 원...

attack_monitor

Attack Monitor Attack Monitor is Python application written to enhance security monitoring capabilites of Windows 7/2008 and all later versions workstations/servers and to automate dynamic analysis of malware. Current modes mutually exclusive: Endpoint detection ED Malware analysis on dedicated...

aclpwn.py

aclpwn.py Aclpwn.py is a tool that interacts with BloodHound to identify and exploit ACL based privilege escalation paths. It takes a starting and ending point and will use Neo4j pathfinding algorithms to find the most efficient ACL based privilege escalation path. Aclpwn.py is similar to the...

DeepBlueCLI

DeepBlueCLI DeepBlueCLI – 위협 헌팅을 위한 Windows 이벤트 로그 기반 PowerShell 모듈 Eric Conrad, Backshore Communications, LLC deepblue at backshore dot net 트위터: @ericconrad http://ericconrad.com 샘플 EVTX 파일은 .\evtx 디렉터리에 있습니다. 참고 다운로드 후 바이러스 백신이 DeepBlueCLI에 반응하는 경우, 이는 .\evtx 디렉터리에 포함된 EVTX 파일악성 공격의 명령줄 로그 등 아티...

APT-Hunter

APT-Hunter APT-Hunter는 Windows 이벤트 로그를 위한 위협 사냥 도구로, 보라색 팀 마인드셋으로 제작되어 Windows 이벤트 로그의 바다 속에 숨겨진 APT 움직임을 탐지하여 의심스러운 활동을 발견하는 시간을 단축합니다. APT-Hunter는 사전 정의된 탐지 규칙을 사용하고 통계에 초점을 맞추어 이상 징후를 발견하며, 이는 침해 평가에 매우 효과적입니다. 출력 결과는 타임라인과 함께 생성되며 Excel, Timeline Explorer, Timesketch 등에서 직접 분석할 수 있습니다. 도구 및 사...

ketshash

Ketshash A little tool for detecting suspicious privileged NTLM connections, in particular Pass-The-Hash attack, based on event viewer logs. The tool was published as part of the "Pass-The-Hash detection" research - more details on "Pass-The-Hash detection" are in the blog post:...

evtx-baseline

evtx-baseline サンプルソフトウェアのインストールと基本的なユーザー操作を含む、良性ソフトウェア（goodware）の evtx ログの例をホストするリポジトリです。 提供 win10-client.tgz：@phantinuss による提供 win11-client.tgz：@frack113 による提供 win7-x86.tgz：@pH-T による提供 win2022-evtx.tgz：@Neo23x0 による提供 win2022-ad.tgz：@frack113 による提供 win2022-0-20348-azure.tgz：@Neo23x0 による提供...

EVTX-ATTACK-SAMPLES

Windows EVTX サンプル 200 の EVTX 例: これは、特定の攻撃および権限昇格後の手法に関連する Windows イベントサンプルのコンテナです。 以下の用途に役立ちます: EVTX 解析に基づく検知スクリプトのテスト イベントログを使用した DFIR と脅威ハンティングのトレーニング Windows および Sysmon イベントログを使用した検知ユースケースの設計 レッドチーマーであれば、ノイズの多い手法の回避/バイパス 注: マッピングは ATT&CK テクニックのレベル（手順ではなく）で行われています。 MITRE 戦術にマッピングされた EVTX...

github-logs

GitHub Logs 15TB の GitHub イベントログから OSINT インサイトを抽出 私たちは、GitHub イベントログのデータセット全体を処理・補完する 3 つの Trickest ワークフローを開発し、貴重なインサイトを得ることができました。そして今、この結果をコミュニティ全体が活用できるようになりました。 公開 GitHub プラットフォーム上で特別な siteadmin ステータスを持つ GitHub ユーザーがちょうど 16 人いることをご存知でしたか？ grep コマンドを使って特定の企業に関連するユーザーを特定することに興味はありませんか？...

PT-2026-65862

Name of the Vulnerable Software and Affected Versions BlackBerry QNX affected versions not specified Description Improper input validation in the decode function of the traceparser library allows an attacker to use a corrupted kernel trace event log .kev file to execute arbitrary code or cause a...

PYSEC-2026-2354 Apache Airflow has an Authorization Bypass Through User-Controlled Key

The Event Log detail endpoint GET /api/v2/eventLogs/eventlogid in Apache Airflow fetched audit-log rows directly by numeric ID after only the generic Audit Log permission check, while the collection endpoint GET /api/v2/eventLogs applied per-Dag scoping. An authenticated UI/API user with audit-lo...

CVE-2026-12681

Improper Validation of Specified Index, Position, or Offset in Input vulnerability in Google go-attestation. parseEfiSignatureList does not advance the buffer past vendor bytes before reading entries. For hashSHA256SigGUID lists, this allows attacker-controlled vendor header bytes to be appended ...

CVE-2026-33566

There is a cypher injection issue in LogonTracer prior to v2.0.0. If specially crafted Windows event log data is loaded, the contents of the database may be altered...

Beyond Pass/Fail: Using Process Mining to Understand How LLMs Resist (And Fail) Red Team Attacks

Standard AI red teaming evaluations reduce adversarial campaigns to a single binary outcome, attack success rate ASR, not taking into account the sequential structure of how models resist or yield to attacks. We propose applying process mining, a discipline for discovering and analyzing process...

CVE-2026-46764

The Event Log detail endpoint GET /api/v2/eventLogs/eventlogid in Apache Airflow fetched audit-log rows directly by numeric ID after only the generic Audit Log permission check, while the collection endpoint GET /api/v2/eventLogs applied per-Dag scoping. An authenticated UI/API user with audit-lo...

EUVD-2026-33584

The Event Log detail endpoint GET /api/v2/eventLogs/eventlogid in Apache Airflow fetched audit-log rows directly by numeric ID after only the generic Audit Log permission check, while the collection endpoint GET /api/v2/eventLogs applied per-Dag scoping. An authenticated UI/API user with audit-lo...