fibratus

<p align="center" > <a href="https://www.fibratus.io" > <img src="https://yellow-cdn.veclightyear.com/0a4dffa0/ae7f2fe1-28db-4f09-96f6-d77d6708451c.png" alt="Fibratus"> </a> </p> <h2 align="center">Fibratus</h2> <p align="center"> 一款专注于安全的现代Windows内核探索和可观测性工具 <br> <a href="https://www.fibratus.io/#/setup/installation"><strong>开始使用 »</strong></a> <br> <br> <strong> <a href="https://www.fibratus.io">文档</a> &nbsp;&nbsp;&bull;&nbsp;&nbsp; <a href="https://github.com/rabbitstack/fibratus/tree/master/filaments">Filaments</a> &nbsp;&nbsp;&bull;&nbsp;&nbsp; <a href="https://github.com/rabbitstack/fibratus/releases">下载</a> &nbsp;&nbsp;&bull;&nbsp;&nbsp; <a href="https://github.com/rabbitstack/fibratus/discussions">讨论</a> </strong> </p>

Fibratus是什么？

Fibratus是一个用于探索和跟踪Windows内核的工具。它可以让你捕获系统范围内的事件，如进程生命周期、文件系统I/O、注册表修改或网络请求等众多可观测性信号。简而言之，Fibratus不仅可以深入了解Windows内核的运行情况，还可以观察其上运行的进程。它不需要任何驱动程序或第三方软件。

事件可以被发送到各种输出接收器，或者导出到捕获文件中进行本地检查和取证分析。强大的过滤引擎允许深入挖掘事件流的内部，而规则引擎能够检测隐蔽的对手攻击和复杂的威胁。

你可以使用filaments来扩展Fibratus，添加你自己的工具库，从而利用Python生态系统的强大功能。

快速开始

查看教程了解如何加载和创建检测规则。

• 观察Microsoft Outlook在文件系统上创建附件

fibratus run file.operation = 'create' and file.name icontains '\\Content.Outlook\\'

• 搜寻远程线程创建

fibratus run kevt.name = 'CreateThread' and kevt.pid != thread.pid

• 将网络交互记录到捕获文件

fibratus capture kevt.category = 'net' -o conns.kcap

• 从捕获文件回放事件

fibratus replay net.dport in (443, 80) -k conns.kcap

• 运行用于监视文件系统变化的filament

fibratus run -f watch_files

特性

• :zap: 极速运行
• :satellite: 收集广泛的内核事件 - 从进程到网络可观测性信号
• :mag: 超强大的过滤和规则引擎
• :snake: 在内核事件流之上运行Python脚本
• :minidisc: 将事件流捕获到kcap文件并在任何地方回放
• :rocket: 将事件传输到Elasticsearch、RabbitMQ或控制台接收器
• :scissors: 转换内核事件
• :dart: 使用Yara扫描恶意进程和文件
• :file_folder: PE（可执行文件）内省

文档

设置

• 安装
• 从源代码构建
• 作为独立二进制文件运行
• 作为Windows服务运行
• 命令行界面
• 配置

事件

• 事件剖析
• 进程
• 线程
• 镜像
• 文件
• 注册表
• 网络
• 句柄

过滤器和规则

• 大海捞针
• 预过滤
• 过滤
• 操作符
• 函数
• 路径
• 字段
• 规则

捕获

• 永久保存事件流
• 捕获
• 重放

文件线程

• Python 遇上内核事件
• 执行
• 内部机制
• 编写文件线程

输出

• 传输内核事件
• 控制台
• 空
• RabbitMQ
• Elasticsearch
• 事件日志
• HTTP

转换器

• 解析、丰富、转换
• 删除
• 重命名
• 替换
• 标签
• 修剪

警报

• 监控内核事件
• 邮件
• Slack
• 文件线程警报

PE (可移植执行文件)

• 可移植执行文件内省
• 节
• 符号
• 资源

YARA

• 模式匹配瑞士军刀
• 扫描进程
• 警报

故障排除

• 日志
• 统计
• 性能分析

---

<p align="center"> 由 <strong>Nedim Šabić Šabić</strong> 用❤️开发 </p> <p align="center"> 由 <strong><a name="logo" target="_blank" href="https://github.com/karinkasweet/">Karina Slizova</a></strong> 用❤️设计标志 </p>