SentinelThread-Forensics

🛡️ Sentinel Thread Pro

高速 Windows 取证分类平台

📋 使命

在现代 SOC 运维中，手动分析 EVTX 日志无异于给你的 MTTR（平均响应时间）判处死刑。Sentinel Thread Pro 旨在弥合海量原始事件日志与可操作取证情报之间的鸿沟。通过编排 Hayabusa 引擎（基于 Rust）和 Python 数据管道，该工具可在数秒内将数千条噪声密集的事件转化为清晰、优先排序的威胁时间线。

🚀 核心工程特性

• 闪电级分类处理： 利用 Hayabusa 核心引擎快速处理大型 .evtx 文件，实现近乎即时的分析。
• Sigma 规则驱动检测： 原生支持 Sigma 规则和 Yamato Security 的检测逻辑，用于搜寻攻击行为。
• ATT&CK 映射： 自动将检测到的事件映射到 MITRE ATT&CK® 战术与技术。
• 情报驱动界面： 专为分析师构建的反应式 Streamlit 仪表盘，支持按严重级别、主机名或特定规则 ID 进行深度过滤。
• 干净的数据标准化： 自定义标准化层，处理不同取证引擎版本之间的模式差异。

🏗️ 工作原理（架构）

1. 数据摄入： 用户通过界面上传工件。
2. 执行： Python 后端以非交互方式启动 Hayabusa 子进程，并严格使用 --no-wizard 和 --json-timeline 标志。
3. 精炼： 基于 Pandas 的数据处理模块清理原始 JSON 输出，解决字段命名冲突并计算威胁分数。
4. 可视化： 状态管理的仪表盘将数据渲染成交互式取证时间线。

🛠️ 安装与部署

1. 环境要求

• Python 3.10 或更高版本。
• Hayabusa 可执行文件。下载并将其放置在 bin/ 目录下。

2. 安装

# 克隆仓库
git clone https://github.com/Adham504/SentinelThread-Forensics.git
cd SentinelThread-Forensics

# 配置虚拟环境
python3 -m venv venv
source venv/bin/activate  # Windows: venv\Scripts\activate

# 安装依赖栈
pip install -r requirements.txt

3. 运行应用

始终从 src 目录运行以确保路径完整性：

cd src
streamlit run app.py

📂 项目结构

SentinelThread/
├── bin/              # 取证二进制文件（排除在 Git 管理外）
├── logs/             # 存放待处理的 .evtx 文件
├── output/           # 生成的 JSON/CSV 结果
├── rules/            # Hayabusa/Sigma 检测逻辑
├── sigma_repo/       # 扩展社区规则
├── src/              # 核心逻辑
│   ├── app.py              # 主入口与 UI 状态
│   ├── engine_handler.py   # 子流程调度器
│   └── data_processor.py   # Pandas 标准化逻辑
└── requirements.txt