IR-Toolkit V0.2 添加GUI

原创

闲聊一号
闲聊一号

闲聊知识铺

2026年10月2日 13:49
美国

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

V0.2 最核心的变化

如果压缩成一句话：

V0.1 是“采集 + 分析”，V0.2 开始变成“采集 + 证据 + 查询 + 关联 + 调查工作台”。

已关注

关注

重播 分享 赞

关闭

观看更多

更多

退出全屏

切换到竖屏全屏退出全屏

闲聊知识铺已关注

分享视频

，时长01:55

0/0

00:00/01:55

切换到横屏模式

继续播放

[ ]

进度条，百分之0

播放

00:00

/

01:55

01:55

倍速

全屏

倍速播放中

0.5倍0.75倍1.0倍1.5倍2.0倍

超清流畅

继续观看

IR-Toolkit V0.2 添加GUI

观看更多

原创

,

IR-Toolkit V0.2 添加GUI

闲聊知识铺已关注

分享点赞在看

已同步到看一看写下你的评论

视频详情

===================================

项目地址： https://github.com/HarperScotts/IR-Toolkit/

======================================

IR-Toolkit V0.2 更新内容

1. Web 调查工作台

• Overview 总览
• Timeline 时间线
• Process 进程调查
• Correlation / Group Graph 关联图
• Search 全局搜索
• Detail 详情工作区
• Login / Network / File / Persistence 调查页面
• 统一导航、历史记录、Breadcrumb、Deep Link、Lazy Loading

2. 后端 Store 架构重构

• FileStore
• ProcessStore
• LoginStore
• NetworkStore
• PersistenceStore
• TimelineStore
• HistoricalProcessStore
• PowerShellStore
• WindowsEventStore
• IOCStore
• CorrelationStore
• QueryStore

• SearchStore

• CaseStore

统一 Store 接口
* 拆分：
* internal/store

与 internal/web 解耦
* internal/store/local

成为本地 Case 数据实现

3. 统一查询层

• 分页 QueryPageOptions
• QueryResult
• Timeline 查询
• Process / Login / Network / File / Persistence 查询
• Investigation Search
• Web 层只负责 HTTP 参数解析，Store 层负责查询实现

4. 证据与关联能力增强

• Historical Process
• Historical Chain
• Correlation Node / Edge
• Correlation Evidence
• Network Analysis
• Process-Network 关联
• 保留证据来源和关联依据

5. 时间线能力

• 多来源统一 Timeline
• 支持时间范围过滤
• Category 过滤
• 搜索过滤
• CategoryCounts

在分页前统计
* 支持从 Timeline → Process / Login / Network 等详情跳转

6. 历史进程与攻击链

• Windows Security 4688 历史进程
• Parent PID / Process / User / Logon ID 等关系
• Current Process 与 Historical Process 精确关联
• PowerShell 4103 / 4104 与进程历史关联
• 支持历史攻击链重建

7. PowerShell 调查

• 4103
• 4104
• PowerShell Process Relation
• Script / CommandLine 关联
• 历史进程关联

8. 网络调查增强

• Native Windows Network
• Network Analysis
• Process ↔ Network Connection
• External Connections
• 网络连接统一 ID
• 保持 Analyzer 的 ExternalConnections 作为唯一成员来源

9. 文件与持久化调查

• File Triage
• File Evidence Search
• Persistence Finding
• Service / Run Key / Scheduled Task 等
• 文件、持久化证据支持查询和分析

10. IOC V1

• IOC 扫描
• IOC Match
• Synthetic ID：
  ioc-match:<index>
• IP / Hash / Domain / Path 等 IOC 关联

11. Windows Event 调查

• Generic Windows Event Collector
• Security Event
• PowerShell Event
• Windows Event Analyzer
• 审计能力检测

12. Evidence / Case 体系

• Host
• Source
• Timestamp
• Collection
• Record

• Analysis

• Case JSON 继续作为本地模式唯一数据源

• Evidence 保留
• 部分 Collector 失败只产生 Warning，不导致整个 Case 失败

13. 安全边界

• 默认 Read-Only
• 不自动 Kill Process
• 不自动 Delete File
• 不自动修改 Registry
• 不偷偷开启 Windows Audit / Logging
• Web 默认：
  127.0.0.1:8080
• Remote Bind 时明确 Warning

14. Web 安全

• Go embed
• Cytoscape 本地化
• 不依赖 CDN
• CSP Self-only
• Evidence 数据全部视为不可信
• 使用 textContent / createElement
• 不使用 innerHTML 渲染证据内容

IR-Toolkit V0.2 Release

版本：v0.2.0
Release 类型： Minor Release
定位： Investigation Workspace / Evidence-driven Investigation

Release Highlights

• 新增 Web 调查工作台
• 新增 Overview / Timeline / Process / Search
• 新增 Correlation / Group Graph
• 新增 Login / Network / File / Persistence 调查
• 新增统一查询与分页 Store API
• 完成 CaseStore 与 Local Store 架构拆分
• 新增 Historical Process / Historical Chain
• 增强 PowerShell 4103 / 4104 调查
• 增强 Windows Security 4688 历史进程关联
• 增强 Process ↔ Network 关联
• 新增 IOC V1
• 新增 Windows Event 调查
• 新增 Evidence / Correlation 数据结构
• 保留 Case JSON 作为本地模式唯一数据源
• 默认保持 Read-Only，不执行破坏性响应操作
• Web 使用 Go embed，Cytoscape 本地化，无 CDN 依赖
• 加强 Evidence 渲染安全与 CSP