📋 미션

현대 SOC 운영에서 수동 EVTX 분석은 MTTR(평균 대응 시간)에 치명적입니다. Sentinel Thread Pro는 대량의 원시 이벤트 로그와 실행 가능한 포렌식 인텔리전스 사이의 간극을 메우기 위해 설계되었습니다. Hayabusa 엔진(Rust 기반)과 파이썬 데이터 파이프라인을 조율하여, 수천 개의 노이즈가 많은 이벤트를 몇 초 만에 깔끔하고 우선순위가 매겨진 위협 타임라인으로 변환합니다.

🚀 주요 엔지니어링 기능

초고속 트라이지: Hayabusa 코어를 사용하여 거대한 .evtx 파일을 거의 즉시 분석합니다.
Sigma 기반 탐지: Sigma 규칙과 Yamato Security의 탐지 로직을 기본 지원하여 공격자 행동을 추적합니다.
ATT&CK 매핑: 탐지된 이벤트를 MITRE ATT&CK® 전술 및 기술에 자동 매핑합니다.
인텔리전스 기반 UI: 분석가를 위해 구축된 반응형 Streamlit 대시보드로, 심각도, 호스트 이름 또는 특정 규칙 ID별로 심층 필터링이 가능합니다.
깔끔한 데이터 정규화: 다양한 포렌식 엔진 버전 간의 스키마 차이를 처리하는 사용자 정의 정규화 계층.

🏗️ 작동 방식 (아키텍처)

수집: 사용자가 UI를 통해 아티팩트를 업로드합니다.
실행: Python 백엔드가 --no-wizard 및 --json-timeline 플래그를 사용하여 비대화형 Hayabusa 하위 프로세스를 실행합니다.
정제: Pandas 기반 프로세서가 원시 JSON 출력을 정리하고, 필드 이름 충돌을 해결하며 위협 점수를 계산합니다.
시각화: 상태 관리되는 대시보드가 데이터를 대화형 포렌식 타임라인으로 렌더링합니다.

🛠️ 설정 및 배포

1. 사전 요구사항

Python 3.10 이상.
Hayabusa 바이너리. 다운로드하여 bin/ 디렉토리에 넣으세요.

2. 설치

# 리포지토리 클론
git clone https://github.com/Adham504/SentinelThread-Forensics.git
cd SentinelThread-Forensics

# 환경 설정
python3 -m venv venv
source venv/bin/activate  # Windows: venv\Scripts\activate

# 스택 설치
pip install -r requirements.txt

3. 앱 실행

경로 무결성을 위해 항상 src 디렉토리에서 실행하세요:

cd src
streamlit run app.py

📂 프로젝트 구조

SentinelThread/
├── bin/              # 포렌식 바이너리 (Git에서 제외)
├── logs/             # 처리할 .evtx 파일을 저장하는 곳
├── output/           # 생성된 JSON/CSV 결과
├── rules/            # Hayabusa/Sigma 탐지 로직
├── sigma_repo/       # 확장 커뮤니티 규칙
├── src/              # 핵심 로직
│   ├── app.py              # 메인 진입점 및 UI 상태
│   ├── engine_handler.py   # 하위 프로세스 오케스트레이터
│   └── data_processor.py   # Pandas 정규화 로직
└── requirements.txt

인기

SentinelThread-Forensics