Hacki
About the project
Qué es
Asistente privado de investigación sobre registros Windows. Importa evidencia EVTX (el formato nativo del Event Log), ejecuta detección Hayabusa/Sigma y produce hipótesis de investigación generadas por IA donde cada afirmación queda validada por código antes de persistir. Todo corre en infraestructura propia: ningún dato sale del equipo.
Cómo funciona
- Evidencia: el operador carga un archivo .evtx; se conserva byte a
byte con SHA-256 y procedencia registrada.
- Detección: Hayabusa corre ~4984 reglas Sigma y produce detecciones
defensivas con severidad y técnicas ATT&CK heredadas.
- Hipótesis IA: un modelo local (Ollama) narra qué pudo haber pasado,
citando eventos por su identificador estable.
- Validación por código: cada referencia y cada técnica sugerida se
verifica antes de persistir; lo que no se respalda se bloquea.
- Revisión humana: las hipótesis quedan pendientes de aceptar o
rechazar. Nada se presenta como veredicto.
Qué se ve en la demo
- Galería de casos con modalidad de inferencia y señal de severidad.
- Cronología por canal con detecciones marcadas y detalle de evento.
- Matriz ATT&CK del caso: técnicas heredadas de reglas vs sugeridas por el
modelo, con procedencia visible.
- La misma evidencia con y sin contexto del operador, lado a lado.
- Exportación sellada (Markdown/HTML/JSON) con verificación por CLI.
- Modo degradado: sin modelo disponible, el caso sigue navegable.
Por qué no un LLM directo
Medido sobre el release fijado: ante una instrucción maliciosa insertada en un campo de evento, el LLM directo obedeció y persistió lo inventado 3/3 veces; el pipeline persistió 0/3. En el caso sospechoso, el pipeline llega a 9/9 aciertos con las 9/9 técnicas respaldadas; Hayabusa solo cubre la evidencia pero no produce una sola hipótesis revisable.
Stack
Python · Streamlit · SQLite · Hayabusa 4.1.0 · Ollama · MITRE ATT&CK