📋 La Missione

Nelle operazioni SOC moderne, l'analisi manuale degli EVTX è una condanna a morte per il tuo MTTR (Mean Time to Respond). Sentinel Thread Pro è costruito per colmare il divario tra enormi log grezzi e intelligence forense utilizzabile. Orchestrando il motore Hayabusa (basato su Rust) e una pipeline di dati Pythonica, questo strumento trasforma migliaia di eventi rumorosi in una timeline di minacce pulita e prioritaria in pochi secondi.

🚀 Caratteristiche Ingegneristiche Chiave

Triage Fulmineo: Elabora file .evtx massicci usando il core Hayabusa per un'analisi quasi istantanea.
Rilevamento Potenziato da Sigma: Supporto nativo per le regole Sigma e la logica di rilevamento di Yamato Security per cacciare i comportamenti degli avversari.
Mappatura ATT&CK: Mappa automaticamente gli eventi rilevati alle tattiche e tecniche MITRE ATT&CK®.
UI Guidata dall'Intelligence: Una dashboard reattiva Streamlit costruita per gli analisti, che consente un filtraggio approfondito per gravità, hostname o ID di regola specifici.
Normalizzazione Pulita dei Dati: Un livello di normalizzazione personalizzato che gestisce le variazioni di schema tra diverse versioni del motore forense.

🏗️ Come Funziona (L'Architettura)

Ingestione: L'utente carica un artefatto tramite l'interfaccia.
Esecuzione: Il backend Python attiva un sottoprocesso Hayabusa non interattivo con flag --no-wizard e --json-timeline rigorosi.
Raffinamento: Un processore basato su Pandas pulisce l'output JSON grezzo, risolvendo i conflitti di denominazione dei campi e calcolando i punteggi di minaccia.
Visualizzazione: La dashboard con gestione dello stato rende i dati in una timeline forense interattiva.

🛠️ Setup e Distribuzione

1. Prerequisiti

Python 3.10 o superiore.
Il Binario Hayabusa. Scaricalo e posizionalo nella directory bin/.

2. Installazione

# Clona il repository
git clone https://github.com/Adham504/SentinelThread-Forensics.git
cd SentinelThread-Forensics

# Configura l'ambiente
python3 -m venv venv
source venv/bin/activate  # Windows: venv\Scripts\activate

# Installa lo stack
pip install -r requirements.txt

3. Esecuzione dell'App

Eseguire sempre dalla directory src per garantire l'integrità dei percorsi:

cd src
streamlit run app.py

📂 Struttura del Progetto

SentinelThread/
├── bin/              # Binari Forensi (Esclusi dal Git)
├── logs/             # Dove memorizzi il file .evtx da elaborare
├── output/           # Risultati JSON/CSV generati
├── rules/            # Logica di rilevamento Hayabusa/Sigma
├── sigma_repo/       # Regole estese della community
├── src/              # La Logica Principale
│   ├── app.py              # Entry Point Principale e Stato UI
│   ├── engine_handler.py   # Orchestratore dei Sottoprocessi
│   └── data_processor.py   # Logica di Normalizzazione Pandas
└── requirements.txt

Più Popolari

SentinelThread-Forensics