Released 2026/10/12.
Enhancements
- Log files found with -d, --directory or -l, --live-analysis are now scanned in sorted path order, making unsorted timeline output deterministic across operating systems, filesystems, and directory copies. (#1929)
- Rule files loaded from a rules directory are now loaded in sorted path order, making same-batch detection ordering deterministic. Rules loaded from encoded_rules.yml retain their existing fixed order. (#1929)
Bug Fixes
- Fixed inconsistent Sigma backslash and wildcard escape decoding between fast-match and regex paths. This restores real PsExec detections for bundled Security EID 5145 rules and prevents related false positives; escaped-wildcard, UNC-path, and public PsExec EVTX regressions are covered. (#1933)
- Fixed elapsed and debug-phase times failing to carry milliseconds into seconds. (#1930)
- Fixed unsorted dfir-timeline aggregation detections appearing in a different order on each run. (#1929)
Other
- Refreshed Rust crate dependencies.
- Updated the bundled hayabusa-evtx revision with bounded BinXML allocation and name-length validation, and replaced the unmaintained encoding crate with encoding_rs.
See CHANGELOG.md for full details.
日本語
2026/10/12 リリース。
改善
- -d, --directory および -l, --live-analysis で見つかったログファイルをパスのソート順でスキャンするようにし、OS、ファイルシステム、ディレクトリのコピーによらず、ソートなしのタイムラインが一定の順序で出力されるようにしました。 (#1929)
- ルールディレクトリ内のルールファイルをパスのソート順で読み込むようにし、同じレコードのバッチで検知された結果の順序が一定になるようにしました。encoded_rules.yml から読み込むルールの順序に変更はありません。 (#1929)
バグ修正
- 高速マッチ経路と正規表現経路でSigmaのバックスラッシュとワイルドカードのエスケープ解釈が異なる問題を修正しました。これにより、同梱のSecurity EID 5145ルールで実際のPsExecを正しく検知し、関連する誤検知を防止します。エスケープされたワイルドカード、UNCパス、公開PsExec EVTXサンプルの回帰テストも追加しました。 (#1933)
- 経過時間およびデバッグ時の各処理時間で、ミリ秒が秒に正しく繰り上がらない問題を修正しました。 (#1930)
- ソートなしのdfir-timelineで、集計ルールの検知結果が実行ごとに異なる順序で出力される問題を修正しました。 (#1929)
その他
- Rustのクレート依存関係を更新しました。
- 同梱のhayabusa-evtxリビジョンを更新し、BinXMLのアロケーションと名前長の検証を強化しました。また、メンテナンスされていないencodingクレートをencoding_rsに置き換えました。
詳細はCHANGELOG-Japanese.mdをご確認ください。