Kestrel
Linguaggio per il threat hunting, nato in IBM nel 2021. Flussi di caccia componibili e riutilizzabili su più fonti di dati (EDR, SIEM, cattura di pacchetti), con modello dati basato su STIX. Open source, di nicchia ma in crescita.
Esempio di sintassi: procs = GET process FROM stixshifter://eventseries WHERE name = 'powershell.exe'. Query concatenate in stile pipeline. Caso d'uso: gli analisti di un SOC che cercano comportamenti avversari nei log. Si distingue da Sigma (regole di rilevamento): Kestrel serve alla caccia interattiva, Sigma a rilevamenti predefiniti. Si distingue anche da KQL/SPL (linguaggi di query legati al fornitore): Kestrel è neutrale rispetto al vendor. Diffusione: di nicchia, perché la grande maggioranza dei SOC usa i linguaggi nativi del proprio prodotto. Un uso pragmatico sono i flussi di caccia mappati su ATT&CK. Kestrel Hunting Hub: raccolta di flussi condivisi dalla comunità.