用途：Chainsaw 是 WithSecure Labs 开发的基于 Rust 的取证检索与狩猎工具，用于在首轮应急响应中快速排查 Windows 事件日志（.evtx）等工件中的威胁。它可离线运行，无需 SIEM 采集管线，适合现场或隔离分析环境。
主要能力：可用 SigmaHQ 规则语料（经映射翻译为内部 Tau 引擎）进行狩猎，也可使用自带检测规则；支持高速关键字/正则搜索；可分析 AppCompatCache（shimcache）、SRUM 数据库及事件日志时间空档；输出支持彩色表格、CSV、JSON。
使用方式：从 GitHub 下载发布版或源码构建：git clone https://github.com/WithSecureLabs/chainsaw.git 后 cargo build --release，也可用 nix profile install github:WithSecureLabs/chainsaw。Sigma 规则需另克隆 SigmaHQ 仓库。常用命令包括 chainsaw hunt ./collected_evtx -s ./sigma/rules --mapping ./mappings/sigma-event-logs-all.yml；可用 --level、--status、--kind 过滤降噪；--json 或 --csv --output 输出结构化结果；chainsaw search 做关键字/正则/Tau 表达式检索；chainsaw analyse shimcache/srum/gaps 分析特定工件；chainsaw dump 和 chainsaw lint 用于检查原始内容与校验规则。
适用场景：检测可疑 PowerShell（如 T1059.001，基于 EID 4104/4103）、命令 shell 执行、注册表 Run 键持久化、计划任务创建、时间戳篡改、恶意文件执行等。
限制：需自行准备 Chainsaw 二进制、SigmaHQ 规则文件及采集的 .evtx（shimcache 分析还需 SYSTEM、Amcache.hve 等注册表配置单元）；Sigma 覆盖面依赖映射文件的正确性；使用前需确认工具版本与规则可用性。