APT-Hunter 项目使用教程

1. 项目目录结构及介绍

APT-Hunter 是一个用于 Windows 事件日志的威胁猎杀工具，其项目目录结构如下：

APT-Hunter/
├── APT-Hunter.py
├── APT-Hunter_old.py
├── Custom-Sigma-Convertor.sh
├── Get_Latest_Sigma_Rules.sh
├── LICENSE
├── O365_detection_rules.json
├── README.md
├── logo.png
├── requirements.txt
├── rules.json
├── windows-log-collector-full-v3-CSV.ps1
├── windows-log-collector-full-v3-EVTX.ps1
└── lib/
    └── ...

目录结构说明：

• APT-Hunter.py: 主启动文件，用于执行威胁猎杀任务。
• APT-Hunter_old.py: 旧版本的启动文件，可能包含一些历史功能。
• Custom-Sigma-Convertor.sh: 自定义 Sigma 规则转换脚本。
• Get_Latest_Sigma_Rules.sh: 获取最新 Sigma 规则的脚本。
• LICENSE: 项目许可证文件。
• O365_detection_rules.json: Office 365 检测规则文件。
• README.md: 项目说明文档。
• logo.png: 项目图标。
• requirements.txt: 项目依赖库列表。
• rules.json: 检测规则文件。
• windows-log-collector-full-v3-CSV.ps1: 用于收集 CSV 格式日志的 PowerShell 脚本。
• windows-log-collector-full-v3-EVTX.ps1: 用于收集 EVTX 格式日志的 PowerShell 脚本。
• lib/: 包含项目所需的其他库文件。

2. 项目启动文件介绍

APT-Hunter.py

APT-Hunter.py 是 APT-Hunter 项目的主启动文件，用于执行威胁猎杀任务。该文件使用 Python 编写，主要功能包括：

• 解析 Windows 事件日志。
• 使用预定义的检测规则进行威胁检测。
• 生成检测结果报告。

启动命令

python3 APT-Hunter.py -h

该命令将显示帮助信息，包含所有可用的参数和选项。

3. 项目配置文件介绍

requirements.txt

requirements.txt 文件列出了 APT-Hunter 项目运行所需的 Python 依赖库。要安装这些依赖库，可以使用以下命令：

python3 -m pip install -r requirements.txt

rules.json

rules.json 文件包含了 APT-Hunter 使用的检测规则。这些规则用于识别 Windows 事件日志中的可疑活动。用户可以根据需要自定义或更新这些规则。

windows-log-collector-full-v3-CSV.ps1 和 windows-log-collector-full-v3-EVTX.ps1

这两个 PowerShell 脚本用于收集 Windows 事件日志。windows-log-collector-full-v3-CSV.ps1 用于收集 CSV 格式的日志，windows-log-collector-full-v3-EVTX.ps1 用于收集 EVTX 格式的日志。

使用方法

以管理员身份运行 PowerShell 脚本：

.\windows-log-collector-full-v3-CSV.ps1

或

.\windows-log-collector-full-v3-EVTX.ps1

收集到的日志文件将用于 APT-Hunter 的分析。

总结

APT-Hunter 是一个强大的威胁猎杀工具，适用于 Windows 事件日志的分析。通过本教程，您可以了解项目的目录结构、启动文件和配置文件的使用方法，从而更好地利用 APT-Hunter 进行威胁检测。