使用 Hayabusa 和 SOF-ELK 驯服 Windows 事件日志（第 1 部分）
💡
原文中文，约1900字，阅读约需5分钟。
📝
内容提要
Hayabusa 是一款高效的取证工具，能够快速生成时间线并提取重要事件。SOF-ELK 平台则提供数据分析和可视化功能，帮助用户高效处理 EVTX 文件。两者结合显著提升了 Windows 事件日志分析的效率。
🎯
关键要点
- Windows 事件日志数量庞大，提取可操作情报是一项挑战。
- Hayabusa 是一款 Windows 事件日志快速取证时间线生成器，拥有超过 4,000 条 SIGMA 规则。
- Hayabusa 可以生成 CSV 或 JSON 格式的时间线输出，包含规则命中结果。
- SOF-ELK 是一个大数据分析平台，专注于计算机取证调查员的需求，提供直观的 Web UI。
- 实战操作流程包括获取和配置 Hayabusa、生成 JSON 时间线、设置 SOF-ELK 环境和数据导入与分析。
- 使用 KQL 语法可以过滤高严重性事件，逐步缩小搜索结果范围。
- Hayabusa 和 SOF-ELK 的组合工具显著提高 Windows 事件日志分析的效率和效果。
❓
延伸问答
Hayabusa 是什么工具，它的主要功能是什么？
Hayabusa 是一款 Windows 事件日志快速取证时间线生成器，能够生成 CSV 或 JSON 格式的时间线输出，并拥有超过 4,000 条 SIGMA 规则。
SOF-ELK 平台的主要用途是什么？
SOF-ELK 是一个大数据分析平台，专注于计算机取证调查员的需求，提供数据摄取、解析和可视化功能。
如何使用 Hayabusa 生成 JSON 时间线？
可以通过命令 '.\hayabusa-3.3.0-win-x64.exe json-timeline -d d:\cases\test_case_evtx -w -L -o d:\cases\test_case_evtx\hayabusa-output-Host123.jsonl' 从 EVTX 文件创建 JSON 时间线。
在使用 SOF-ELK 时，如何检查 Elasticsearch 索引的摄取进度？
可以使用命令 'sof-elk_clear.py -i list' 来检查 Elasticsearch 索引的摄取和填充进度。
Hayabusa 和 SOF-ELK 的结合有什么优势？
这套组合工具能够显著提高 Windows 事件日志分析的效率和效果，帮助用户快速提取可操作情报。
如何使用 KQL 语法过滤高严重性事件？
可以使用语法 'NOT rule.level: "info" and NOT rule.level: "low" and NOT rule.level: "med"' 来过滤高严重性事件。
➡️
