SiteQ8/Athar
GitHub: SiteQ8/Athar
Athar 是一个零依赖、纯客户端的离线网络取证工作台，通过统计分析和命令生成帮助分析师高效完成 BPF 构造、信标检测、DGA 评分和证据提取。
Stars: 1 | Forks: 0
# 🛰️ Athar · أثر
**网络取证实战手册与分析工作台**
*数据包留下了痕迹。来做数学分析吧。*
[](https://siteq8.github.io/Athar/)
一个单文件、零依赖的网络取证、威胁狩猎和事件响应工作台。将其放置在没有互联网的隔离分析工作站上，所有本地工具依然可以运行。
## 为什么
网络取证的失败很少是因为分析师不知道该寻找*什么*。失败往往是因为他们在与 BPF 语法作斗争，肉眼盯着 beacon 间隔，眯着眼睛看着域名，想知道它是否是算法生成的。Athar 替你完成这些数学运算，以便你将注意力集中在调查上。
标签页 02–05 中的所有内容都是**纯客户端 JavaScript** —— 没有后端，没有遥测，没有网络调用。这是有意为之的：分析工作站通常是气隙隔离（air-gapped）的，而且案件证据永远不应离开你的环境。
## 六大工具
| # | 工具 | 功能 |
|---|------|--------------|
| **01** | **Command Forge** | 用自然语言描述证据 → 获取精确的 `tshark` / `zeek-cut` / `tcpdump` / `nfdump` / `editcap` / `Arkime` 命令。包含 12 个精选模板，涵盖 DNS 提取、文件雕刻（file carving）、NetFlow、HTTP/TLS 特征分析、SMB 横向移动狩猎、证据级捕获以及大型 pcap 拆分。 |
| **02** | **BPF Builder** | 通过下拉菜单构建捕获过滤器 —— 方向、主机/CIDR、协议、端口、TCP 标志预设、payload 偏移量 —— 并附带**自然语言翻译**以及可用于 tcpdump/tshark/Wireshark 的直接用法。防止你无意中丢弃所需的证据。 |
| **03** | **Beacon Hunter** | 粘贴 Zeek `conn.log`（TSV 或 JSON）或任何 CSV。按连接对进行分组，并根据**到达时间间隔的绝对中位差（median-absolute-deviation）**、payload 大小的变异系数以及观测计数来评估周期性。教科书级别的 C2 得分约为 ~0.95；人类浏览行为则会衰减。支持 CSV 导出。 |
| **04** | **DGA Scorer** | 根据**Shannon 熵、英语双字母组合理性、辅音连续长度、数字比例、标签长度和 TLD 风险**对域名进行排名。清晰地将字典词域名与算法生成域名（以及长十六进制标签）区分开来。支持 CSV 导出。 |
| **05** | **Field Reference** | 快速查询 —— Zeek 日志速查表、BPF 原语、tshark 显示过滤器、nfdump 语法、JA3/TLS 笔记、数据外发与隧道特征。可在所有表中进行实时过滤。 |
| **06** | **AI Analyst** | *可选。* 自带你的 Anthropic API 密钥。粘贴任何工件（Zeek 行、TLS hello、NetFlow 记录、头部区块），即可获得分类 / 逐字段解释 / 关联查询 / 书面的案件简报发现。 |
## 使用方法
**托管版：** https://siteq8.github.io/Athar/
**离线 / 气隙隔离：**
```
git clone https://github.com/SiteQ8/Athar.git
# 只需打开 Athar/index.html — 无需 server、无需 build、无需联网
```
## 统计数据简述
- **Beacon score** = `0.55·jitter + 0.22·size-consistency + 0.23·confidence`，其中 *jitter* 来自 `MAD(Δt)/median(Δt)`（与 stdev 不同，它对异常值具有鲁棒性），*size-consistency* 来自字节数的变异系数，而 *confidence* 随 `log(n)` 缩放。连接数少于 6 次的对会被标记 —— 因为你无法从四个数据点中确立周期性。
- **DGA score** 是主要由**双字母组不合理度**（根据英语频率对每个相邻字母对进行评分）主导的加权组合，因为这是区分 `cloudflare` 和 `xkqzvhtmbrwlp` 的最佳方式。
两者都是**辅助分类工具，而非最终判定** —— 始终要通过 jitter/协议来佐证 beacon，并通过注册时间、NXDOMAIN 率以及解析的基础设施来佐证域名。
## 证据处理说明
标签页 02–05 永远不会接触网络。只有 **AI Analyst**（标签页 06）会向外发送数据 —— 使用你的密钥直接从你的浏览器发送至 `api.anthropic.com`。在实时取证活动中，这可能会与监管链（chain-of-custody）规则相冲突，因此请将其限制在实验室数据和经过脱敏处理的工件上。
由 **[Ali AlEnezi](https://3li.info)** 构建 · [@SiteQ8](https://github.com/SiteQ8) · 科威特 🇰🇼
**一款独立的开源工具。** 不隶属于、也未被任何培训提供商、供应商或认证机构认可。
标签：IP 地址批量处理, 前端工具, 后端开发, 多模态安全, 安全运营, 库, 应急响应, 扫描框架, 数据可视化