工具对比

以下对比旨在帮助你了解 SIREN 与同类工具的差异和适用场景，以便根据实际需求选择合适的工具。

GScan

GScan 是一款基于 Python 的开源入侵检测工具，旨在尽可能的发现入侵痕迹，溯源出黑客攻击的整个路径。SIREN 的诞生受到了该项目的启发。

由于实战中使用 GScan 时遇到的一些痛点，我们对 GScan 的信息收集项与功能点进行了大幅改善与精简、减少了软件依赖并覆盖更多操作系统，形成了 SIREN 的雏形。以下是两款工具的详细对比：

osquery

osquery 是一款开源的系统情报收集工具，其初衷是为了解决系统监控和管理问题，而其优秀的类 SQL 语法的检索语句同样能够实现安全事件调查响应。但所有查询语句均需自行手动编写，对于应急响应场景而言上手难度较高且效率较低，较难实现自动化。同时，osquery 无法完全覆盖常见的安全相关的信息收集项，部分情况下仍需要使用系统命令来收集信息。因此，SIREN 依然采用执行系统命令的方式来收集信息。

Velociraptor

Velociraptor 是一款先进的开源数字取证与事件响应工具，可以提升你对终端设备的可见性。通过强大的 Artifact 和 VQL 能力，Velociraptor 能够覆盖数字取证、应急响应、威胁检测等多种场景，适合在多台主机上批量部署、持续运行，作为终端安全运维平台。

SIREN 是一款轻量级的应急响应工具，通过自动化收集系统关键信息、自动化应急响应，尽可能降低使用门槛的同时覆盖核心应急响应场景，适合在主机上短期运行、快速完成排查。以下是两款工具的详细对比：

GRR

GRR 是基于 Python 开发的 C/S 框架的调查响应平台，平台目标是能够用快速、可扩展的方式支持调查响应，以允许响应人员能够快速对攻击进行分类、远程执行分析。和 Velociraptor 类似，GRR 同样能够覆盖数字取证、应急响应、威胁检测等多种场景并提供了 GUI，适合在多台主机上批量部署、持续运行，与 SIREN 的定位存在差异。