Kestrel
Tehdit avcılığı dili. IBM, 2021. Birden çok veri kaynağı (EDR, SIEM, paket yakalama) üzerinde birleştirilebilir, yeniden kullanılabilir av akışları. STIX tabanlı veri modeli. Açık kaynak, niş ama büyüyor.
Örnek sözdizimi: procs = GET process FROM stixshifter://eventseries WHERE name = 'powershell.exe'. Boru hattı tarzı zincirleme sorgular. Kullanım alanı: SOC analistlerinin günlükler arasında saldırgan davranışı avlaması. Sigma'dan (tespit kuralları) farkı: Kestrel etkileşimli avcılıktır, Sigma önceden tanımlı tespit. KQL/SPL'den (satıcıya bağlı sorgu dilleri) farkı: Kestrel satıcıdan bağımsızdır. Benimsenme: niş; SOC'ların büyük çoğunluğu satıcıya özgü dilleri kullanır. Modern kullanım: ATT&CK ile eşlenmiş av akışları pragmatik bir örnektir. Kestrel Hunting Hub: topluluğun paylaştığı av akışları.