src/APT-Hunter.py

@@ -104,6 +104,7 @@ def evtxdetect_auto():
     try:
         #print(Security_path)
         userprofile=multiprocessing.Process(target= EvtxDetection.multiprocess, args = (UserProfile_path_list,EvtxDetection.detect_events_UserProfileService_log,input_timezone,timestart,timeend,objectaccess,processexec,logons,frequencyanalysis,allreport,Output,CPU_Core))
+        #创建多线程分析windows日志，其中参数包括用户配置文件的路径列表、一个检测事件的函数、时区信息、时间范围、以及一系列用于分析的选项（如对象访问、进程执行、登录、频率分析等）。
         userprofile.start()
         process_list.append(userprofile)
     except IOError :

项目泛读.txt

@@ -0,0 +1,38 @@
+一、源代码结构与功能
+APT-Hunter的源代码主要由Python编写，包含多个模块和脚本，用于实现日志收集、解析、分析以及结果输出等功能。
+
+日志收集：
+源代码中包含了用于收集Windows事件日志的PowerShell脚本（windows-log-collector-full-v3-CSV && windows-log-collector-full-v3-EVTX）脚本能够提取CSV和EVTX格式的日志。
+用户可以通过运行这些脚本来自动收集所需的日志，而无需手动查找和提取。
+日志解析：
+APT-Hunter使用内置库（如csv库）来解析CSV日志文件，使用外部库（如evtx库）来解析EVTX日志文件。
+解析过程中，APT-Hunter会使用正则表达式（Regex）为每个事件提取字段，以便后续分析。
+日志分析：
+源代码中包含了用于分析日志的逻辑，这些逻辑基于Mitre ATT&CK战术和技术，将攻击指标映射到Windows事件日志中。
+分析过程中，APT-Hunter会检测各种可疑活动，如恶意软件的安装、未授权的网络连接等，并生成相应的报告。
+结果输出：
+分析结果可以以Excel工作表和CSV文件的形式输出，便于用户查看和分析。
+其中，Excel工作表包含了从每个Windows日志中检测到的所有事件，而CSV文件则可以用于时间线分析。
+二、关键模块与代码分析
+日志收集模块：
+该模块主要包含PowerShell脚本，用于从Windows系统中提取日志。
+脚本中使用了Windows事件日志API或PowerShell命令来获取日志数据，并将其保存为CSV或EVTX格式。
+日志解析模块：
+该模块使用Python编写，包含了用于解析CSV和EVTX日志文件的函数。
+在解析CSV文件时，使用了Python的csv库来读取文件并提取字段。
+在解析EVTX文件时，使用了外部库（如pyevtx）来读取文件并解析事件。
+日志分析模块：
+该模块是APT-Hunter的核心部分，包含了用于检测可疑活动的逻辑。
+逻辑中定义了多个检测规则，这些规则基于Mitre ATT&CK战术和技术，用于识别各种APT攻击指标。
+分析过程中，APT-Hunter会遍历日志文件中的事件，并根据检测规则进行判断和分类。
+结果输出模块：
+该模块负责将分析结果输出为用户可读的格式。
+在输出Excel工作表时，使用了Python的pandas库来创建和填充工作表。
+在输出CSV文件时，则直接使用了Python的文件操作函数来写入数据。
+三、技术亮点与优势
+高效性：APT-Hunter能够快速地收集、解析和分析大量的Windows事件日志，提高了威胁检测的效率和准确性。
+易用性：该工具提供了友好的用户界面和简洁的操作流程，使得用户能够轻松上手并快速掌握其使用方法。
+兼容性：APT-Hunter支持多种格式的日志解析和输出配置，使得用户能够灵活地将其集成到现有的安全监控系统中。
+开源性：作为一款开源工具，APT-Hunter的源代码是公开的，用户可以根据需要进行二次开发或定制。
+四、结论与展望
+通过对APT-Hunter源代码的分析，可以看出该工具在Windows事件日志的威胁搜寻方面具有较高的效率和准确性。其友好的用户界面、简洁的操作流程以及灵活的日志解析和输出配置，使得用户能够轻松地使用该工具进行威胁检测和分析。然而，随着APT攻击的不断发展和变化，APT-Hunter也需要不断更新和完善其检测规则和功能，以应对新的威胁和挑战。未来，可以进一步优化APT-Hunter的性能和效率，提高其适用性和易用性，并探索与其他安全监控系统的集成和联动，以实现更加全面和高效的安全防护。