Kestrel
Linguagem de threat hunting da IBM, de 2021. Fluxos de caça componíveis e reutilizáveis sobre várias fontes de dados (EDR, SIEM, captura de pacotes), com modelo de dados baseado em STIX. Código aberto, de nicho, mas crescendo.
Exemplo de sintaxe: procs = GET process FROM stixshifter://eventseries WHERE name = 'powershell.exe'. Consultas encadeadas em estilo pipeline. Caso de uso: analistas de SOC caçando comportamento de adversários nos logs.
Difere do Sigma (regras de detecção): o Kestrel é caça interativa, o Sigma é detecção predefinida. Difere de KQL/SPL (linguagens presas a fornecedores): o Kestrel é neutro. Adoção: de nicho, já que a grande maioria dos SOCs usa linguagens nativas do fornecedor. Um uso pragmático é o de fluxos de caça mapeados ao ATT&CK; o Kestrel Hunting Hub reúne fluxos compartilhados pela comunidade.