QT

KSword—WindowsARK、内核调试与系统取证工具集。将用户态与内核态信息集中在统一工作流中，用于进程、内存、网络、文件、驱动、内核对象和系统安全审计。核心功能•进程与对象Cross-view：对照R3/R0进程、线程、CID与句柄视图，检查隐藏对象、结构差异、线程栈与进程详细信息•内存与页

1、支持文件、进程、注册表、网络连接、dns请求等维度的数据采集2、支持文件、进程、注册表操作的拦截处理3、支持自保护（文件防删除、进程防杀、服务、驱动防停止/卸载）4、支持安全事件告警、风险行为溯源

1、支持通过文件签名、描述信息、hash值、路径等方式配置拦截策略2、支持内核级进程拦截，支持多种场景进程拦截，开机启动的进程也会拦截成功3、支持模块自保护（进程防杀，服务、驱动防停止/卸载）4、支持拦截动作审计，可在后台查看拦截记录