Hayabusa Windows事件日志狩猎时间线

为什么需要把事件日志转成狩猎时间线

Windows 事件日志分散在不同的 Event ID、来源和服务里，人工从海量日志中串起可疑行为的时间线，往往要反复核对时间戳、账号、进程和对象，很容易漏掉关键步骤。Sigma 规则擅长描述攻击模式，但直接匹配原始日志的门槛高，导致很多威胁狩猎停留在单条日志筛查，很难形成完整行为链路。

Hayabusa 如何生成可用的时间线

这个技能围绕 Hayabusa 工作，将原始事件日志转换为按时间排序的时间线，把登录、进程启动、计划任务、服务变更等动作聚合起来。它会把日志解析成与时间、用户、进程、资源相关的结构，方便 Agent 基于已知攻击模式快速检索，例如同一账号在短时间内创建服务、下载文件并执行的行为组合。输出结果保留可追溯的检测信息，能让调查人员直接复核可疑路径，而不是只看孤立日志。

适用边界与注意点

使用前需要准备好 Hayabusa 环境和 Windows 事件日志，日志可以来自在线系统、离线采集或企业采集管道。当前资料没有提供自动化的安装与使用说明，如果要在敏感流程中使用，请先审查上游项目文档，确认采集方式、检测规则和输出格式适配你的环境，避免未经验证的规则直接作用于生产系统。