Released 2026/10/28.
Warning
Antivirus and EDR products may report false positives when downloading or extracting Hayabusa release files. If you are using Hayabusa for live response on a running Windows system, use the appropriate Windows live-response build to lower the chance of false positives from antivirus and EDR products. This does not guarantee that no alert will occur.
Enhancements
- Added
-Z, --timezone <OFFSET>todfir-timeline,search,eid-metrics,logon-summary,log-metrics, andextract-base64. Fixed UTC offsets must use the signed+HH:MMor-HH:MMformat, such as--timezone "+09:00". The offset is applied consistently to output timestamps while filtering, sorting, and histogram bins remain based on UTC. (#1935) (@YamatoSecurity) - Unaliased rule fields are now resolved from both
EventDataandUserData, including nested structures such as WMI Event ID 5859'sOperation_EssStarted. Explicit aliases and direct fields retain priority, and ambiguous duplicate recursive matches are rejected. (#1941) (@YamatoSecurity)
Bug Fixes
- Fixed automatically generated
Detailsinterpreting event values such as%systemroot%and URL-encodedProgram%20Files%20as field placeholders and outputtingn/a. (#1948) (@YamatoSecurity) - Fixed leading spaces being trimmed from event field values, which prevented rules whose values begin with a space from matching. (#1942) (@MatteoPapa)
- Fixed Sigma
windashhandling so eligible option-prefix dashes work across multiple command-line options and withcontains,startswith, andendswith, while literal and internal dashes remain unchanged and regex fallback honorscased. (#1938, #1939) (@YamatoSecurity)
Other
- Refreshed 28 direct and transitive Rust dependency packages to their latest versions compatible with Rust 1.97.1. (@YamatoSecurity)
See CHANGELOG.md for full details.
日本語
2026/10/28 リリース。
Warning
Hayabusaのリリースファイルをダウンロードまたは展開すると、ウイルス対策ソフトやEDRが誤検知する場合があります。稼働中のWindowsシステムでライブレスポンスに使用する場合は、ウイルス対策ソフトやEDRによる誤検知の可能性を下げるため、該当するWindows版のlive-responseビルドを使用してください。ただし、アラートが発生しないことを保証するものではありません。
改善
dfir-timeline、search、eid-metrics、logon-summary、log-metrics、extract-base64に-Z, --timezone <OFFSET>を追加しました。固定UTCオフセットは--timezone "+09:00"のような符号付きの+HH:MMまたは-HH:MM形式で指定します。出力タイムスタンプにはオフセットを一貫して適用し、フィルタ、ソート、ヒストグラムのビン分けは引き続きUTCを基準とします。 (#1935) (@YamatoSecurity)- エイリアスが定義されていないルールフィールドを、
EventDataとUserDataの両方から検索するようにしました。WMIイベントID 5859のOperation_EssStartedのようなネスト構造も対象です。明示的なエイリアスと直下のフィールドを優先し、再帰検索で同名フィールドが複数見つかった場合は不一致として扱います。 (#1941) (@YamatoSecurity)
バグ修正
- 自動生成された
Detailsが、%systemroot%やURLエンコードされたProgram%20Files%20などのイベント値をフィールドのプレースホルダーとして解釈し、n/aを出力する問題を修正しました。 (#1948) (@YamatoSecurity) - イベントのフィールド値の先頭のスペースが削除され、スペースで始まるルール値が一致しない問題を修正しました。 (#1942) (@MatteoPapa)
- Sigmaの
windash処理を修正し、対象となるオプション接頭辞のダッシュが複数のコマンドラインオプションおよびcontains、startswith、endswithで機能するようにしました。リテラルおよび内部ダッシュは変更せず、正規表現フォールバックでもcasedを尊重します。 (#1938, #1939) (@YamatoSecurity)
その他
- Rust 1.97.1と互換性のある最新バージョンへ、直接および推移的なRust依存パッケージ28個を更新しました。 (@YamatoSecurity)
詳細はCHANGELOG-Japanese.mdをご確認ください。