sigwood
Herramienta CLI local-first para caza de amenazas en logs existentes (Zeek, Pi-hole, syslog, CloudTrail). Analiza comportamiento sin agentes ni daemons. Python 3.11+, MIT.
Ficha actualizada 18 sept 2026, 21:35 · upstream 10 sept 2026, 3:11 · release v1.0.0
Qué es sigwood
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
sigwood es una herramienta de caza de amenazas local-first diseñada para autohospedadores que ya poseen logs de infraestructura. Opera entre grep y SIEM: no requiere agente, daemon, base de datos ni conexión a red externa. Se instala con pipx o uv, apunta a directorios de logs y produce resultados inmediatos.
El repositorio incluye 10 detectores especializados: beacon (FFT sobre timing de conexiones), dns (HDBSCAN clustering), syslog (templating drain3 + rareza), auth (estructura de autenticación), scan (patrones de escaneo), exfil (transferencias bulk), protocol (desajustes puerto-payload), ssl (configuraciones TLS atípicas) y aws (anomalías CloudTrail por z-score). Cada detector nombra la técnica empleada.
El proyecto incluye generador de corpus sintético para pruebas, reportes HTML autocontenidos y visualización de flujos con sigwood graph. El README documenta evidencia medible en EVIDENCE.md y validación de campo en FIELDKIT.md.
- Caza de amenazas en logs Zeek/Pi-hole sin enviar datos a SIEM externo
- Detección de beaconing mediante FFT sobre timing de conexiones
- Análisis de actividad CloudTrail por principal con z-score
- Generación de reportes HTML autocontenidos para auditoría interna
- Local-first: logs nunca salen del equipo, sin agentes ni daemons
- 10 detectores con técnicas específicas nombradas (FFT, HDBSCAN, drain3)
- Compatible con Zeek, Pi-hole, syslog, systemd journal y CloudTrail
- Estado estable 1.0.0 con tests para cada detector
- No enumera inteligencia de amenazas externa ni feeds de signatures
- Requiere Python 3.11+ y pipx/uv para instalación recomendada
- Algunos detectores (dnsblock, auth, protocol, ssl) son opt-in
- Sin soporte Docker o despliegue containerizado
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Instalar con pipx ensurepath luego pipx install sigwood. Ejecutar sigwood hunt para caza por defecto, o sigwood <detector> <ruta> para detectores específicos. Requiere Python 3.11+. Logs en reposo, sin configuración inicial obligatoria. Ver demo/gen_corpus.py para pruebas sintéticas.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.