Gerando Linhas do Tempo Forenses com Hayabusa

Visão Geral

Hayabusa (隼, "falcão-peregrino" em japonês) é um gerador de linha do tempo de forense rápida e caça a ameaças baseado em Sigma para logs de eventos do Windows, desenvolvido pela Yamato Security em Rust. Ele analisa arquivos .evtx (offline ou via análise ao vivo de um host local), aplica uma grande biblioteca integrada de regras de detecção Sigma mais regras específicas do Hayabusa, e produz uma única linha do tempo cronológica e legível de eventos de alto sinal com níveis de severidade, táticas MITRE ATT&CK e referências de regras. Isso colapsa milhares de registros brutos de logs de eventos em uma linha do tempo de incidente priorizada que um analista pode revisar rapidamente.

Hayabusa é construído especificamente para triagem de DFIR. Em vez de carregar EVTX em um SIEM, um investigador executa um único binário contra um diretório de logs coletados e obtém uma linha do tempo em CSV ou JSON mais métricas (eventos por computador, por ID de Evento, por canal). Como as detecções são baseadas em Sigma, a cobertura acompanha a comunidade aberta de engenharia de detecção, e as regras podem ser atualizadas sob demanda com update-rules. A saída da ferramenta se integra à análise downstream: CSV abre no Timeline Explorer, JSONL alimenta jq, e perfis timesketch-* exportam diretamente para o Timesketch.

Uma descoberta frequente nas linhas do tempo do Hayabusa é o PowerShell malicioso — MITRE ATT&CK T1059.001 (Interpretador de Comando e Script: PowerShell) — exposto via regras Sigma sobre o Event ID 4104 (registro de script-block), 4103 e criação de processos Sysmon. Essa habilidade se mapeia para o NIST CSF RS.AN-03 (a análise é realizada para estabelecer o que aconteceu durante um incidente).

Quando Usar

• Durante a triagem de resposta a incidentes, para transformar uma pilha de arquivos .evtx coletados em uma linha do tempo priorizada.
• Quando você precisa de detecção rápida e sem SIEM sobre logs de eventos do Windows com cobertura Sigma da comunidade.
• Para enumerar atividades suspeitas (PowerShell, alterações de conta, movimento lateral) em logs de muitos hosts.
• Para produzir métricas (eventos por computador/ID de Evento/canal) e palavras-chave de pivô para caça mais profunda.
• Para exportar uma linha do tempo de incidente para o Timesketch ou Timeline Explorer para análise colaborativa.

Pré-requisitos

• Binário Hayabusa. Baixe uma versão pré-compilada (Windows/Linux/macOS) do GitHub:

  # Linux example
  curl -LO https://github.com/Yamato-Security/hayabusa/releases/latest/download/hayabusa-3.0.0-lin-x64-gnu.zip
  unzip hayabusa-*.zip && cd hayabusa-*
  ./hayabusa-3.0.0-lin-x64-gnu --version
  

  Ou compile a partir do código-fonte (as regras são um submódulo):

  git clone https://github.com/Yamato-Security/hayabusa.git --recursive
  cd hayabusa && cargo build --release
  

• Arquivos .evtx do Windows coletados (ou execute com --live-analysis no host, como Administrador).
• Regras de detecção atualizadas:

  ./hayabusa update-rules
  

• Opcional: Timeline Explorer (Windows) ou Timesketch para visualização da saída; jq para JSONL.

Objetivos

• Construir uma linha do tempo forense em CSV ou JSON a partir de um diretório de arquivos .evtx.
• Atualizar e ajustar o conjunto de regras Sigma usado para detecção.
• Selecionar um perfil de saída apropriado para a investigação (mínimo vs. verboso vs. timesketch).
• Gerar métricas (computador, ID de Evento, log) e palavras-chave de pivô para pistas de caça.
• Filtrar a linha do tempo por severidade mínima para focar a triagem.
• Pesquisar logs por IOCs específicos por palavra-chave ou regex.

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

1. Atualize o conjunto de regras

Puxe as últimas regras Sigma e Hayabusa antes de cada investigação.

./hayabusa update-rules

2. Construa uma linha do tempo em CSV a partir de logs coletados

…