Kestrel
Язык для threat hunting от IBM (2021): составные, повторно используемые «потоки охоты» над несколькими источниками данных (EDR, SIEM, перехват пакетов) на модели данных STIX. Открытый код, нишевый, но растущий.
Пример: procs = GET process FROM stixshifter://eventseries WHERE name = 'powershell.exe'. Запросы выстраиваются в конвейер. Задача — аналитики SOC ищут поведение атакующих по журналам. От Sigma (заранее заданные правила обнаружения) Kestrel отличается интерактивной охотой; от KQL/SPL — вендорной нейтральностью.
Распространён мало: подавляющее большинство SOC пользуется языками своих вендоров. Практичный сценарий — потоки охоты, привязанные к ATT&CK. Kestrel Hunting Hub — общий каталог потоков от сообщества.