Chainsaw

1. Tổng Quan Kiến Trúc & Cơ Chế Hoạt Động#

Chainsaw hoạt động như một công cụ 'first-response' độc lập, không yêu cầu cơ sở dữ liệu trung tâm. Nó sử dụng thư viện evtx (Rust) để parse log trực tiếp từ tệp tin. Luồng dữ liệu: [Input EVTX/Artifacts] -> [Chainsaw Parser] -> [Sigma/Custom Rule Engine] -> [Output Formatter].

2. Ma Trận Đánh Giá & Điểm Khác Biệt#

So với ELK/Splunk, Chainsaw vượt trội ở tính di động (portable) và không tốn tài nguyên index. Nó thay thế hoàn hảo cho các script PowerShell chậm chạp trong việc quét hàng loạt tệp log.

3. Hướng Dẫn Cài Đặt & Cấu Hình Chi Tiết#

• Build từ nguồn: cargo build --release.
• Cấu hình: Sử dụng file mapping YAML để ánh xạ các trường trong log với quy tắc Sigma. Đảm bảo các đường dẫn tới thư mục rules/ và sigma/ được chỉ định chính xác qua flag -r và -s.

4. Bảng Tra Cứu Tham Số & Flags Dòng Lệnh#

• hunt: Chế độ săn tìm dựa trên quy tắc.
• search: Chế độ tìm kiếm chuỗi/regex đơn giản.
• -s: Đường dẫn tới bộ quy tắc Sigma.
• -m: File mapping để ánh xạ trường log.
• --json: Xuất kết quả định dạng JSON để tích hợp vào pipeline khác.

5. Kịch Bản Thực Chiến#

• Kịch bản 1 (SOC): Tự động hóa quét log định kỳ trên các máy chủ quan trọng để phát hiện dấu hiệu leo thang đặc quyền.
• Kịch bản 2 (IR): Sử dụng chainsaw hunt trên bản sao của ổ cứng bị xâm nhập để tìm kiếm các dấu hiệu của CobaltStrike hoặc Mimikatz thông qua các quy tắc Sigma có sẵn.

6. Khuyến Nghị Tối Ưu & Phòng Ngừa Rủi Ro#

• Luôn sử dụng --release khi build để đạt hiệu năng tối đa.
• Cẩn trọng với các file log quá lớn; hãy sử dụng --from và --to để giới hạn phạm vi thời gian điều tra, tránh tràn bộ nhớ.