用途：Hayabusa 是 Yamato Security 用 Rust 开发的基于 Sigma 的 Windows 事件日志威胁狩猎与快速取证时间线生成工具。它解析 .evtx 文件（离线或对本机实时分析），应用内置 Sigma 规则及 Hayabusa 专属规则，输出带严重级别、MITRE ATT&CK 战术和规则引用的时间线，把海量原始日志压缩为可快速审阅的事件时间线。适用于事件响应初筛、无 SIEM 的快速检测、跨主机可疑活动枚举、生成指标与狩猎线索，以及导出到 Timesketch 或 Timeline Explorer。
主要能力：生成 CSV/JSON 时间线；更新与调优 Sigma 规则；选择输出 profile（minimal、standard、verbose、all-field-info、timesketch 等）；按最低严重级别过滤；生成计算机/Event ID/日志指标；生成 pivot 关键词；按关键词或正则搜索 IOC；支持本机实时分析。
使用方式：先下载或编译 Hayabusa 并确认版本，运行 ./hayabusa update-rules 更新规则。生成 CSV：./hayabusa csv-timeline -d ./collected_evtx -o timeline.csv -w（-U 使用 UTC）。选择 profile：-p verbose 或 -p all-field-info。按级别过滤：-m high。生成 JSONL：./hayabusa json-timeline -d ./collected_evtx -L -o timeline.jsonl -w。指标：computer-metrics、eid-metrics、log-metrics、pivot-keywords-list。搜索：./hayabusa search -d ./collected_evtx -k "powershell" -i 或 -r 正则。实时：./hayabusa csv-timeline -l -o live_timeline.csv -m high -w（需管理员权限）。
限制：需先收集 .evtx 文件或具备本机管理员权限；检测覆盖依赖 Sigma 社区规则，需定期更新；具体性能、平台支持与收费信息暂未提供。