📋 Die Mission

Im modernen SOC-Betrieb ist die manuelle EVTX-Analyse ein Todesurteil für deine MTTR (Mean Time to Respond). Sentinel Thread Pro wurde entwickelt, um die Lücke zwischen massiven Roh-Ereignisprotokollen und verwertbaren forensischen Informationen zu schließen. Durch die Orchestrierung der Hayabusa-Engine (Rust-basiert) und einer Python-basierten Datenpipeline verwandelt dieses Tool Tausende von verrauschten Ereignissen in Sekundenschnelle in eine saubere, priorisierte Bedrohungs-Zeitachse.

🚀 Wichtige technische Merkmale

Blitzschnelle Triage: Verarbeitet massive .evtx-Dateien mit dem Hayabusa-Kern für eine nahezu sofortige Analyse.
Sigma-gestützte Erkennung: Native Unterstützung für Sigma-Regeln und die Erkennungslogik von Yamato Security zur Jagd nach Angreiferverhalten.
ATT&CK-Zuordnung: Ordnet erkannte Ereignisse automatisch Taktiken und Techniken von MITRE ATT&CK® zu.
Intelligenzgesteuerte Benutzeroberfläche: Ein reaktives Streamlit-Dashboard, das für Analysten entwickelt wurde und eine tiefgehende Filterung nach Schweregrad, Hostname oder spezifischen Regel-IDs ermöglicht.
Saubere Datennormalisierung: Eine benutzerdefinierte Normalisierungsschicht, die Schema-Variationen zwischen verschiedenen Forensik-Engine-Versionen handhabt.

🏗️ Funktionsweise (Die Architektur)

Erfassung: Der Benutzer lädt ein Artefakt über die Benutzeroberfläche hoch.
Ausführung: Das Python-Backend startet einen nicht-interaktiven Hayabusa-Subprozess mit strikten --no-wizard- und --json-timeline-Flags.
Verfeinerung: Ein Pandas-basierter Prozessor bereinigt die rohe JSON-Ausgabe, löst Feldnamenskonflikte und berechnet Bedrohungsbewertungen.
Visualisierung: Das zustandsverwaltete Dashboard rendert die Daten in eine interaktive Forensik-Zeitachse.

🛠️ Einrichtung und Bereitstellung

1. Voraussetzungen

Python 3.10 oder höher.
Die Hayabusa-Binärdatei. Lade sie herunter und platziere sie im Verzeichnis bin/.

2. Installation

# Clone the repository
git clone https://github.com/Adham504/SentinelThread-Forensics.git
cd SentinelThread-Forensics

# Set up the environment
python3 -m venv venv
source venv/bin/activate  # Windows: venv\Scripts\activate

# Install the stack
pip install -r requirements.txt

3. Ausführen der App

Führe immer aus dem src-Verzeichnis aus, um die Pfadintegrität zu gewährleisten:

cd src
streamlit run app.py

📂 Projektstruktur

SentinelThread/
├── bin/              # Forensic Binaries (Exempt from Git)
├── logs/             # Where you store the .evtx file to process
├── output/           # Generated JSON/CSV results
├── rules/            # Hayabusa/Sigma detection logic
├── sigma_repo/       # Extended community rules
├── src/              # The Core Logic
│   ├── app.py              # Main Entry & UI State
│   ├── engine_handler.py   # Subprocess Orchestrator
│   └── data_processor.py   # Pandas Normalization Logic
└── requirements.txt

Beliebteste

SentinelThread-Forensics