工具

vedantk6403/koobe-guard

使用 Kprobes 的 Linux 内核模块，通过时间间隔跟踪与主动寄存器置零，检测并中和 CVE-2024-1086 堆双重释放漏洞利用，且零 RAM 开销。

0x0allenace/windows-malware-behavioral-analysis

使用 FLARE-VM 和 REMnux 对模拟的多阶段 Windows 恶意软件样本进行行为恶意软件分析。以证据驱动的 DFIR 调查，包含 IOC 提取、MITRE ATT&CK 映射和检测工程。

kevin9480/security_incident_report

基于 React2Shell(CVE-2025-55182) 漏洞复现入侵场景，并通过 Wazuh/Sysmon/Coraza WAF 日志进行事件分析与响应的 DFIR 项目

theretardedelon/gpewebdefender

轻量级 Web 攻击监控器。单个 Go 二进制文件 + SQLite。不是 OSSEC，也不是 WAF。

harshiys/cve-2007-2447-exploitation-siem-detection-lab

隔离的 AD/Linux 攻击实验室：通过 Metasploit 利用 CVE-2007-2447，使用 Wazuh SIEM 检测并映射至 MITRE ATT&CK（T1190、T1059）

glebusalt/cybersecurity_portfolio

信息安全实践案例：部署 SIEM Wazuh 与利用 CVE-2021-41773

bruneaug/dshield-siem

DShield Sensor Log Collection with ELK

beenuar/aisoc

开源、由 AI 驱动的安全运营中心 — 告警融合、紫队演练、智能体辅助分诊、MITRE ATT&CK 调查。MIT 许可，可自行托管。

spectralzero/netscope

面向 Windows 的离线优先网络调查与响应平台。可将 pcap 或实时抓包转化为完整的取证结论——攻击故事、IOC、提取的凭据以及一键响应——完全本地运行，无需云端，无需 API 密钥。

travisbgreen/hunting-rules

用于网络异常检测的Suricata规则

c3rb3ru5d3d53c/signatures

面向 YARA、Suricata、Snort 和 Sigma 的社区检测签名构建与分发管道

d3sre/intelligentprocesslifecycle

主动网络防御者的智能进程生命周期

volexity/threat-intel

来自公开 Volexity 博客文章的特征码和入侵指标（IoCs）。

immersive-labs-sec/bruteratel-detectiontools

用于解码 Brute Ratel C4 badgers 的工具与规则集合

neo23x0/raccine

A Simple Ransomware Vaccine

ninoseki/kibune

A Sigma based detection pipeline

scythe-io/purple-team-exercise-framework

Purple Team Exercise Framework