Yamato-Security/hayabusa v1.2.0 on GitHub

v1.2.0 Black Hat Asia Arsenal 2022

🦅 New Features:

Specify config directory (-C / --config): When specifying a different rules directory, the rules config directory will still be the default rules/config, so this option is useful when you want to test rules and their config files in a different directory. (@hitenkoku)
|equalsfield aggregator: In order to write rules that compare if two fields are equal or not. (@hach1yon)
Pivot keyword list generator feature (-p / --pivot-keywords-list): Will generate a list of keywords to grep for to quickly identify compromised machines, suspicious usernames, files, etc... (@kazuminn)
-F / --full-data option: Will output all field information in addition to the fields defined in the rule's details. (@hach1yon)
--level-tuning option: You can tune the risk level in hayabusa and sigma rules to your environment. (@itiB and @hitenkoku)

🦅 Enhancements:

Updated detection rules and documentation. (@YamatoSecurity)
Mac and Linux binaries now statically compile the OpenSSL libraries. (@YamatoSecurity)
Performance and accuracy improvement for fields with tabs, etc... in them. (@hach1yon and @hitenkoku)
Fields that are not defined in eventkey_alias.txt will automatically be searched in Event.EventData. (@kazuminn and @hitenkoku)
When updating rules, the names of new rules as well as the count will be displayed. (@hitenkoku)
Removed all Clippy warnings from the source code. (@hitenkoku and @hach1yon)
Updated the event ID and title config file (timeline_event_info.txt) and changed the name to statistics_event_info.txt. (@YamatoSecurity and @garigariganzy)
32-bit Hayabusa Windows binaries are now prevented from running on 64-bit Windows as it would cause unexpected results. (@hitenkoku)
MITRE ATT&CK tag output can be customized in output_tag.txt. (@hitenkoku)

🐛 Bug Fixes:

.yml files in the .git folder would cause parse errors so they are now ignored. (@hitenkoku)
Removed unnecessary newline due to loading test file rules. (@hitenkoku)
Fixed output stopping in Windows Terminal due a bug in Terminal itself. (@hitenkoku)## v1.2.0 [2022/04/15] Black Hat Asia Arsenal 2022 Preview Release

🦅 新機能:

-C / --config オプションの追加。検知ルールのコンフィグを指定することが可能。(Windowsでのライブ調査に便利) (@hitenkoku)
|equalsfield と記載することでルール内で二つのフィールドの値が一致するかを記載に対応。 (@hach1yon)
-p / --pivot-keywords-list オプションの追加。攻撃されたマシン名や疑わしいユーザ名などの情報をピボットキーワードリストとして出力する。 (@kazuminn)
-F / --full-dataオプションの追加。ルールのdetailsで指定されたフィールドだけではなく、全フィールド情報を出力する。(@hach1yon)
--level-tuning オプションの追加。ルールの検知ファイルを設定したコンフィグファイルに従って検知レベルをチューニングすることが可能(@itiB、@hitenkoku)

🦅改善:

検知ルールとドキュメントの更新。 (@YamatoSecurity)
MacとLinuxのバイナリに必要なOpenSSLライブラリを静的コンパイルした。 (@YamatoSecurity)
タブ等の文字が含まれたフィールドに対しての検知性能の改善。 (@hach1yon、@hitenkoku)
eventkey_alias.txt内に定義されていないフィールドをEvent.EventData内を自動で検索することが可能。 (@kazuminn、@hitenkoku)
検知ルールの更新時、更新されたルールのファイル名が表示される。 (@hitenkoku)
ソースコードにあるClippyの警告を修正。 (@hitenkoku、@hach1yon)
イベントIDとタイトルが記載されたコンフィグファイルの名前を timeline_event_info.txt から statistics_event_info.txtに変更。 (@YamatoSecurity、 @garigariganzy)
64bit Windowsで32bit版のバイナリを実行しないように修正(@hitenkoku)
MITRE ATT&CKのデータの出力をoutput_tag.txtで修正できるように修正(@hitenkoku)

🐛 バグ修正: