Zircolite

面向 EVTX、Auditd、Sysmon for Linux、XML、CSV 和 JSON 日志的独立 Sigma 检测

Zircolite 在你的日志上运行 Sigma 规则。它将事件扁平化到 SQLite 中，把每条规则转换为 SQL 查询并报告匹配结果，离线运行，一条命令即可完成。

• 多种日志格式，自动识别：Windows EVTX（二进制、XML、JSON）、Auditd、Sysmon for Linux、EVTXtract、CSV、XML 和 JSON，支持明文或 gzip、bzip2、ZIP 和 7-Zip 压缩包。
• 原样使用 Sigma 规则：通过 pySigma 转换的原生 YAML，或 rules/ 中现成的规则集。包含关联规则。
• 快速：编译式扁平化内核、并行工作线程和规则预过滤；参见基准测试。
• 字段处理：拆分打包字段并运行沙箱化的 Python 转换（Base64 解码、IOC 提取、LOLBin 检测等）。
• 导出：JSON、CSV，以及适用于 Splunk、Elastic、OpenSearch、Timesketch、SARIF 和 ATT&CK Navigator 的模板。
• 时间线：将每个检测结果按时间顺序作为一行，附带事件的一行摘要，输出为 CSV 或 JSON lines（--timeline）。
• Zircolite Viewer：将所有事件和检测结果打包为一个 zip，可在浏览器中离线打开。

📖 阅读**文档**，也位于 docs/ 中。

安装

独立二进制文件，无需安装：从发布页面下载适用于你平台的 zip（Linux x64 和 ARM64、macOS Apple silicon、Windows x64 和 ARM64）。

Docker：

docker pull wagga40/zircolite:latest

从源码使用 PDM，Python 3.11 至 3.14：

git clone https://github.com/wagga40/Zircolite.git
cd Zircolite
pdm use -f 3.14
pdm install

pdm use 会让 PDM 避开 Python 3.15 和自由线程构建，这些版本 尚不支持；3.11 到 3.13 中的任意版本也可以。使用 uv：

git clone https://github.com/wagga40/Zircolite.git
cd Zircolite
uv sync --python 3.14+gil

源码安装会编译一个原生展平内核，并需要为其提供 C 编译器；如果没有编译器，则会回退到较慢的 Python 内核。有关编译器软件包、二进制文件详情（macOS 隔离、校验和）以及 Docker 权限，请参阅安装。

快速开始

# Windows logs, with the default ruleset (rules/rules_windows_merged.json)
python3 zircolite.py --events sysmon.evtx

# Linux logs: the format is detected
python3 zircolite.py --events auditd.log --ruleset rules/rules_linux.json

# Native Sigma rules, through pySigma pipelines
python3 zircolite.py --events logs/ --ruleset ./sigma/rules/windows/process_creation \
    --pipeline sysmon --pipeline windows-logsources

# Every event and detection, for the Zircolite Viewer
python3 zircolite.py --events logs/ --package

# The detections as a timeline, for Timeline Explorer or a spreadsheet
python3 zircolite.py --events logs/ --timeline

使用二进制文件时，运行 ./Zircolite 而不是 python3 zircolite.py。从源码运行时，除非环境已激活，否则在命令前加上 pdm run（或 uv run）。使用 Docker 时，挂载日志并提供绝对路径：

docker run --rm --tty -v $PWD:/case/input:ro -v $PWD:/case/output \
    wagga40/zircolite:latest --events /case/input -o /case/output/detected_events.json

在 Linux 主机上，添加 --user "$(id -u):$(id -g)" 和 -l /case/output/zircolite.log：该镜像以非特权用户运行，无法写入你拥有的目录。

检测结果输出到 detected_events.json。如需用于测试的日志，请参见 EVTX-ATTACK-SAMPLES。

[!IMPORTANT] 默认规则集可能包含噪声大或运行缓慢的规则。 为你的环境选择规则， 并使用 python3 zircolite.py -U 更新它们。

工作原理

Zircolite 将每个事件展平为 SQLite 表中的一行，把每条 Sigma 规则转换为针对该表的 SQL 查询，并报告匹配的行。

Zircolite Viewer

--package 会写出一个 zip 文件，包含本次运行的所有事件，并将检测结果和 关联告警与这些事件关联起来。解压后打开 index.html：查看器可离线运行， 提供概览、检测结果、可按任意列搜索、筛选和排序的事件表、时间线、ATT&CK 矩阵、 实体、最稀有值的堆叠、登录和横向移动、进程树以及 SQL 控制台。分享包时请像对待 其来源日志一样谨慎。参见 Zircolite Viewer。

基准测试

在 10 核 Apple M1 Max 上的中位实际耗时，每个工具均使用默认设置和各自的规则：

工具	4 个 Sysmon EVTX，478 MB	8 个 EVTX，覆盖 11 个通道，13.3 GB
Zircolite	7.7 s	30.2 s
Hayabusa 4.2.0	23.3 s	500.3 s
Chainsaw 2.17.1	48.3 s	183.0 s

Zircolite 通过其并行工作进程（--no-parallel 可将其关闭）使用的内存比其他工具更多， 且规则集各不相同，因此检测数量不可直接比较。有关内存、设置以及如何复现，请参见 Benchmark。

教程、参考资料及相关项目

教程（为早期版本编写）：

• 英语：Sigma and Zircolite，Russ McRee。
• 西班牙语：Running Sigma rules on EVTX files，César Marín。
• 法语：Windows log investigation 和 Hack the Box challenge write-up，IT-Connect。

参考资料：

• Florian Roth 在 2021 年 10 月的 EU ATT&CK Workshop 上，于其 SIGMA Hall of Fame 中引用了 Zircolite。
• Zircolite 在 JSAC 2023 上被引用并展示。
• 引用或使用它的研究论文：
  • CIDRE Team：PWNJUTSU website、PWNJUTSU paper、CERBERE: Cybersecurity Exercise for Red and Blue Team Entertainment, Reproducibility
  • Universidad de la República：A Process Mining-Based Method for Attacker Profiling Using the MITRE ATT&CK Taxonomy

Zircolite 也可在 KAPE 和 Velociraptor 中运行。

许可证

• 代码采用 GNU Lesser General Public License 许可。
• EVTX 解析使用 evtx（pyevtx-rs），采用 MIT 或 Apache-2.0 许可。发布包在 THIRD_PARTY_LICENSES 中列出了每个捆绑库及其许可证。
• 规则保留其来源的许可证：SigmaHQ 规则采用 Detection Rule License (DRL) 1.1，社区来源则采用 DRL 1.1、GPL 3.0、Apache License 2.0、MIT License 或 CC0 1.0，此处逐一列出。相关文本位于 rules/licenses/。rules_windows_all.json 将它们合并，每条规则保留各自的许可证。发布包在 THIRD_PARTY_LICENSES 中为每个规则集注明出处。