Kestrel
脅威ハンティング用の言語。2021年にIBMが公開した。複数のデータソース(EDR、SIEM、パケットキャプチャ)にまたがる、組み合わせ可能で再利用できるハンティングフローを書ける。STIXベースのデータモデルを持つオープンソースで、ニッチだが伸びている。
構文例: procs = GET process FROM stixshifter://eventseries WHERE name = 'powershell.exe'。クエリをパイプライン式につなげていく。想定する使い道は、SOCアナリストがログ全体から攻撃者の挙動を探すこと。Sigma(あらかじめ定義した検知ルール)とは違い、Kestrelは対話的なハンティング向け。KQLやSPLのようなベンダー固有のクエリ言語と違い、ベンダー中立でもある。普及度はニッチで、大半のSOCはベンダー純正の言語を使っている。ATT&CKに対応づけたハンティングフローは現実的な用途だ。コミュニティが共有するハンティングフローの置き場として、Kestrel Hunting Hubもある。