文章总结： IR-ToolkitV0.2版本更新，核心变化是从采集加分析转变为采集加证据加查询加关联加调查工作台。新增Web调查工作台，包含Overview、Timeline、Process、Correlation等页面，后端Store架构重构为统一接口，增强证据关联、时间线、历史进程与攻击链、PowerShell调查、网络调查、文件持久化调查、IOCV1、WindowsEvent调查等能力。安全边界默认只读，不执行破坏性操作，Web安全采用Goembed、Cytoscape本地化、CSPSelf-only，Evidence渲染安全。 综合评分： 75 文章分类： 安全工具,应急响应,安全建设
IR-Toolkit V0.2 添加GUI
原创
闲聊一号 闲聊一号
闲聊知识铺
2026年10月2日 13:49 美国
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
V0.2 最核心的变化
如果压缩成一句话：
V0.1 是“采集 + 分析”，V0.2 开始变成“采集 + 证据 + 查询 + 关联 + 调查工作台”。
已关注
关注
重播 分享 赞
关闭
观看更多
更多
退出全屏
切换到竖屏全屏退出全屏
闲聊知识铺已关注
分享视频
，时长01:55
0/0
00:00/01:55
切换到横屏模式
继续播放
[ ]
进度条，百分之0
播放
00:00
/
01:55
01:55
倍速
全屏
倍速播放中
0.5倍0.75倍1.0倍1.5倍2.0倍
超清流畅
继续观看
IR-Toolkit V0.2 添加GUI
观看更多
原创
,
IR-Toolkit V0.2 添加GUI
闲聊知识铺已关注
分享点赞在看
已同步到看一看写下你的评论
视频详情
===================================
项目地址： https://github.com/HarperScotts/IR-Toolkit/
======================================
#
IR-Toolkit V0.2 更新内容
- Web 调查工作台
- Overview 总览
- Timeline 时间线
- Process 进程调查
- Correlation / Group Graph 关联图
- Search 全局搜索
- Detail 详情工作区
- Login / Network / File / Persistence 调查页面
- 统一导航、历史记录、Breadcrumb、Deep Link、Lazy Loading
- 后端 Store 架构重构
-
FileStore
-
ProcessStore
-
LoginStore
-
NetworkStore
-
PersistenceStore
-
TimelineStore
-
HistoricalProcessStore
-
PowerShellStore
-
WindowsEventStore
-
IOCStore
-
CorrelationStore
-
QueryStore
-
SearchStore
-
CaseStore统一 Store 接口
-
拆分：
-
internal/store与
internal/web解耦 -
internal/store/local成为本地 Case 数据实现
- 统一查询层
- 分页
QueryPageOptions QueryResult- Timeline 查询
- Process / Login / Network / File / Persistence 查询
- Investigation Search
- Web 层只负责 HTTP 参数解析，Store 层负责查询实现
- 证据与关联能力增强
- Historical Process
- Historical Chain
- Correlation Node / Edge
- Correlation Evidence
- Network Analysis
- Process-Network 关联
- 保留证据来源和关联依据
- 时间线能力
-
多来源统一 Timeline
-
支持时间范围过滤
-
Category 过滤
-
搜索过滤
-
CategoryCounts在分页前统计
-
支持从 Timeline → Process / Login / Network 等详情跳转
- 历史进程与攻击链
- Windows Security 4688 历史进程
- Parent PID / Process / User / Logon ID 等关系
- Current Process 与 Historical Process 精确关联
- PowerShell 4103 / 4104 与进程历史关联
- 支持历史攻击链重建
- PowerShell 调查
- 4103
- 4104
- PowerShell Process Relation
- Script / CommandLine 关联
- 历史进程关联
- 网络调查增强
- Native Windows Network
- Network Analysis
- Process ↔ Network Connection
- External Connections
- 网络连接统一 ID
- 保持 Analyzer 的 ExternalConnections 作为唯一成员来源
- 文件与持久化调查
- File Triage
- File Evidence Search
- Persistence Finding
- Service / Run Key / Scheduled Task 等
- 文件、持久化证据支持查询和分析
- IOC V1
- IOC 扫描
- IOC Match
- Synthetic ID：
ioc-match:<index> - IP / Hash / Domain / Path 等 IOC 关联
- Windows Event 调查
- Generic Windows Event Collector
- Security Event
- PowerShell Event
- Windows Event Analyzer
- 审计能力检测
- Evidence / Case 体系
-
Host
-
Source
-
Timestamp
-
Collection
-
Record
-
Analysis
-
Case JSON 继续作为本地模式唯一数据源
-
Evidence 保留
-
部分 Collector 失败只产生 Warning，不导致整个 Case 失败
- 安全边界
- 默认 Read-Only
- 不自动 Kill Process
- 不自动 Delete File
- 不自动修改 Registry
- 不偷偷开启 Windows Audit / Logging
- Web 默认：
127.0.0.1:8080 - Remote Bind 时明确 Warning
- Web 安全
- Go
embed - Cytoscape 本地化
- 不依赖 CDN
- CSP Self-only
- Evidence 数据全部视为不可信
- 使用
textContent/createElement - 不使用
innerHTML渲染证据内容
IR-Toolkit V0.2 Release
版本：v0.2.0
Release 类型： Minor Release
定位： Investigation Workspace / Evidence-driven Investigation
Release Highlights
- 新增 Web 调查工作台
- 新增 Overview / Timeline / Process / Search
- 新增 Correlation / Group Graph
- 新增 Login / Network / File / Persistence 调查
- 新增统一查询与分页 Store API
- 完成
CaseStore与 Local Store 架构拆分 - 新增 Historical Process / Historical Chain
- 增强 PowerShell 4103 / 4104 调查
- 增强 Windows Security 4688 历史进程关联
- 增强 Process ↔ Network 关联
- 新增 IOC V1
- 新增 Windows Event 调查
- 新增 Evidence / Correlation 数据结构
- 保留 Case JSON 作为本地模式唯一数据源
- 默认保持 Read-Only，不执行破坏性响应操作
- Web 使用 Go
embed，Cytoscape 本地化，无 CDN 依赖 - 加强 Evidence 渲染安全与 CSP
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：闲聊知识铺 闲聊一号 闲聊一号《IR-Toolkit V0.2 添加GUI》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论