用途：在 Windows 系统安全事件调查中分析事件日志，检测横向移动、权限提升与持久化机制，支持威胁狩猎、合规审计及取证时间线构建。
主要能力：使用 Chainsaw 基于 Sigma 规则进行检测与关键词/事件 ID 搜索；使用 Hayabusa 快速生成 CSV/JSON 时间线、指标与登录摘要；使用 python-evtx 自定义解析关键事件 ID（如 4624、4625、4688、4697、4720、1102 等）；识别 Pass-the-Hash、日志清除等攻击模式。
使用方式：先从取证镜像或活动系统收集 EVTX 文件并计算哈希；安装 Chainsaw（wget https://github.com/WithSecureLabs/chainsaw/releases/latest/download/chainsaw_all_platforms+rules.zip）与 Hayabusa（wget https://github.com/Yamato-Security/hayabusa/releases/latest/download/hayabusa-linux-x64-musl.zip）；运行 chainsaw hunt 或 hayabusa csv-timeline 等命令；也可用 pip install evtx 后编写 Python 脚本解析。
适用场景：横向移动检测、权限提升检测、PowerShell 攻击检测、勒索软件事件重建。
限制：需具备 EVTX 文件、Sigma 规则及关键事件 ID 知识；部分工具与命令依赖 Linux 环境；资料未提供收费、平台支持范围等细节。