Process Tree Explorer

import%20marimo%0A%0A__generated_with%20%3D%20%220.23.9%22%0Aapp%20%3D%20marimo.App(width%3D%22medium%22%2C%20app_title%3D%22Process%20Tree%20Explorer%22)%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Aasync%20def%20_wasm_bootstrap()%3A%0A%20%20%20%20import%20sys%20as%20_sys%0A%20%20%20%20import%20marimo%20as%20mo%0A%0A%20%20%20%20is_wasm%20%3D%20%22pyodide%22%20in%20_sys.modules%0A%0A%20%20%20%20if%20is_wasm%3A%0A%20%20%20%20%20%20%20%20import%20micropip%0A%0A%20%20%20%20%20%20%20%20_base%20%3D%20str(mo.notebook_location()).rstrip(%22%2F%22)%0A%20%20%20%20%20%20%20%20await%20micropip.install(%5B%0A%20%20%20%20%20%20%20%20%20%20%20%20_base%20%2B%20%22%2Fmock_data-0.1.0-py3-none-any.whl%22%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20_base%20%2B%20%22%2Fprocess_tree_widget-0.1.8-py3-none-any.whl%22%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%22ibis-framework%5Bduckdb%5D%22%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%22treelib%22%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%22narwhals%22%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%22pydantic%22%2C%0A%20%20%20%20%20%20%20%20%5D)%0A%20%20%20%20return%20is_wasm%2C%20mo%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_imports(is_wasm)%3A%0A%20%20%20%20del%20is_wasm%0A%0A%20%20%20%20import%20ibis%0A%20%20%20%20from%20ibis%20import%20_%0A%20%20%20%20from%20process_tree_widget%20import%20ProcessTreeWidget%0A%20%20%20%20from%20process_tree_widget.timefilter%20import%20TimeFilterWidget%0A%20%20%20%20from%20mock_data%20import%20get_process_events%2C%20get_events_for_process%0A%0A%20%20%20%20ibis.options.interactive%20%3D%20True%0A%20%20%20%20return%20(%0A%20%20%20%20%20%20%20%20ProcessTreeWidget%2C%0A%20%20%20%20%20%20%20%20TimeFilterWidget%2C%0A%20%20%20%20%20%20%20%20get_events_for_process%2C%0A%20%20%20%20%20%20%20%20get_process_events%2C%0A%20%20%20%20%20%20%20%20ibis%2C%0A%20%20%20%20)%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_load_data(get_process_events%2C%20ibis)%3A%0A%20%20%20%20con%20%3D%20ibis.duckdb.connect()%0A%0A%20%20%20%20events_raw%20%3D%20get_process_events()%0A%20%20%20%20events%20%3D%20con.create_table(%22process_events%22%2C%20events_raw)%0A%20%20%20%20return%20(events%2C)%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_header(mo)%3A%0A%20%20%20%20def%20_badge(label%2C%20val%2C%20color%3DNone)%3A%0A%20%20%20%20%20%20%20%20_bg%20%3D%20f%22background%3A%7Bcolor%7D%3B%22%20if%20color%20else%20%22background%3Avar(--muted)%3B%22%0A%20%20%20%20%20%20%20%20return%20f%22%22%22%3Cdiv%20style%3D%22display%3Aflex%3Bflex-direction%3Acolumn%3Bgap%3A2px%22%3E%0A%20%20%20%20%20%20%20%20%20%20%3Cspan%20style%3D%22font-size%3A11px%3Bcolor%3Avar(--muted-foreground)%3Bfont-family%3Amonospace%22%3E%7Blabel%7D%3C%2Fspan%3E%0A%20%20%20%20%20%20%20%20%20%20%3Cspan%20style%3D%22font-size%3A12px%3Bfont-family%3Amonospace%3Bcolor%3Avar(--foreground)%3B%7B_bg%7Dpadding%3A2px%208px%3Bborder-radius%3A4px%3Bwhite-space%3Anowrap%22%3E%7Bval%7D%3C%2Fspan%3E%0A%20%20%20%20%20%20%20%20%3C%2Fdiv%3E%22%22%22%0A%0A%20%20%20%20_header_html%20%3D%20mo.Html(f%22%22%22%0A%20%20%20%20%3Cdiv%20style%3D%22border%3A1px%20solid%20var(--border)%3Bborder-radius%3A8px%3Bpadding%3A16px%2020px%3Bmargin-bottom%3A16px%22%3E%0A%20%20%20%20%20%20%3Cdiv%20style%3D%22display%3Aflex%3Balign-items%3Acenter%3Bgap%3A8px%3Bmargin-bottom%3A12px%22%3E%0A%20%20%20%20%20%20%20%20%3Cspan%20style%3D%22font-size%3A20px%3Bfont-weight%3A700%3Bfont-family%3Avar(--heading-font%2Csystem-ui)%22%3EProcess%20Tree%20Explorer%20-%20Endpoint%20Investigation%3C%2Fspan%3E%0A%20%20%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%20%20%3Cdiv%20style%3D%22display%3Aflex%3Bflex-wrap%3Awrap%3Bgap%3A16px%3Balign-items%3Aend%22%3E%0A%20%20%20%20%20%20%20%20%7B_badge(%22Device%22%2C%20%22WS-FINANCE-03%22)%7D%0A%20%20%20%20%20%20%20%20%7B_badge(%22User%22%2C%20%22sarah.chen%40corp.local%22)%7D%0A%20%20%20%20%20%20%20%20%7B_badge(%22OS%22%2C%20%22Windows%2011%2023H2%22)%7D%0A%20%20%20%20%20%20%20%20%7B_badge(%22Boot%20session%22%2C%20%222026-03-15%2007%3A30%20UTC%22)%7D%0A%20%20%20%20%20%20%20%20%7B_badge(%22Anchor%20process%22%2C%20%22powershell.exe%20(PID%204100)%22)%7D%0A%20%20%20%20%20%20%20%20%7B_badge(%22Risk%20score%22%2C%20%2285%22)%7D%0A%20%20%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%20%20%3Cp%20style%3D%22margin-top%3A12px%3Bfont-size%3A13px%3Bcolor%3Avar(--foreground)%3Bline-height%3A1.5%22%3E%0A%20%20%20%20%20%20%20%20XSOAR%20incident%20%234821%3A%20Macro-enabled%20document%20opened%20from%20phishing%20email%20spawned%0A%20%20%20%20%20%20%20%20encoded%20PowerShell%20with%20network%20callback%20to%20198.51.100.23%3A443.%20Process%20downloaded%0A%20%20%20%20%20%20%20%20payload%20via%20certutil%2C%20loaded%20unsigned%20DLL%2C%20and%20established%20Run%20key%20persistence.%0A%20%20%20%20%20%20%20%20Lateral%20movement%20attempted%20via%20net%20use%20to%20DC01.%0A%20%20%20%20%20%20%3C%2Fp%3E%0A%20%20%20%20%20%20%3Cp%20style%3D%22margin-top%3A8px%3Bfont-size%3A12px%3Bcolor%3Avar(--muted-foreground)%22%3E%0A%20%20%20%20%20%20%20%20Right-click%20any%20node%20and%20choose%20%3Cstrong%3ELoad%20events%3C%2Fstrong%3E%20to%20see%20image%20loads%2C%0A%20%20%20%20%20%20%20%20file%20writes%2C%20network%20connections%2C%20and%20registry%20modifications.%0A%20%20%20%20%20%20%3C%2Fp%3E%0A%20%20%20%20%3C%2Fdiv%3E%0A%20%20%20%20%22%22%22)%0A%20%20%20%20_header_html%0A%20%20%20%20return%0A%0A%0A%40app.cell%0Adef%20_time_filter(TimeFilterWidget%2C%20events%2C%20mo)%3A%0A%20%20%20%20tf%20%3D%20mo.ui.anywidget(TimeFilterWidget(events%2C%20source%3D%22mde%22))%0A%20%20%20%20mo.Html(f%22%22%22%3Cdetails%20style%3D%22margin-bottom%3A0%22%3E%0A%20%20%20%20%20%20%20%20%3Csummary%20style%3D%22cursor%3Apointer%3Bfont-size%3A14px%3Bcolor%3Avar(--muted-foreground)%3Bpadding%3A4px%200%22%3E%0A%20%20%20%20%20%20%20%20%20%20%20%20Time%20filter%20(click%20to%20show%2Fhide)%0A%20%20%20%20%20%20%20%20%3C%2Fsummary%3E%0A%20%20%20%20%20%20%20%20%3Cdiv%20style%3D%22max-height%3A160px%3Boverflow%3Ahidden%22%3E%7Btf.text%7D%3C%2Fdiv%3E%0A%20%20%20%20%3C%2Fdetails%3E%22%22%22)%0A%20%20%20%20return%20(tf%2C)%0A%0A%0A%40app.cell%0Adef%20_process_tree(ProcessTreeWidget%2C%20events%2C%20mo)%3A%0A%20%20%20%20from%20datetime%20import%20datetime%0A%0A%20%20%20%20pt%20%3D%20mo.ui.anywidget(%0A%20%20%20%20%20%20%20%20ProcessTreeWidget(%0A%20%20%20%20%20%20%20%20%20%20%20%20events%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20source%3D%22mde%22%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20custom_actions%3D%5B%7B%22id%22%3A%20%22load_events%22%2C%20%22label%22%3A%20%22Load%20events%22%7D%5D%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20initial_node%3D(4100%2C%20datetime(2026%2C%203%2C%2015%2C%208%2C%2016%2C%200))%2C%0A%20%20%20%20%20%20%20%20)%0A%20%20%20%20)%0A%20%20%20%20pt.style(%7B%22max-height%22%3A%20%22380px%22%2C%20%22overflow-y%22%3A%20%22auto%22%2C%20%22overflow-x%22%3A%20%22auto%22%7D)%0A%20%20%20%20return%20(pt%2C)%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_wire_date_range(pt%2C%20tf)%3A%0A%20%20%20%20pt._start_date%20%3D%20tf.value%5B%22start_date%22%5D%0A%20%20%20%20pt._end_date%20%3D%20tf.value%5B%22end_date%22%5D%0A%20%20%20%20return%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_extract_triggered(pt)%3A%0A%20%20%20%20triggered_action%20%3D%20pt.value.get(%22triggered_action%22)%0A%20%20%20%20return%20(triggered_action%2C)%0A%0A%0A%40app.cell(hide_code%3DTrue)%0Adef%20_events_panel(get_events_for_process%2C%20mo%2C%20triggered_action)%3A%0A%20%20%20%20_pid%20%3D%20(%0A%20%20%20%20%20%20%20%20triggered_action%5B%22ProcessId%22%5D%0A%20%20%20%20%20%20%20%20if%20triggered_action%20and%20triggered_action.get(%22ProcessId%22)%0A%20%20%20%20%20%20%20%20else%204100%0A%20%20%20%20)%0A%20%20%20%20_name%20%3D%20(%0A%20%20%20%20%20%20%20%20triggered_action.get(%22ProcessName%22%2C%20%22powershell.exe%22)%0A%20%20%20%20%20%20%20%20if%20triggered_action%20and%20triggered_action.get(%22ProcessId%22)%0A%20%20%20%20%20%20%20%20else%20%22powershell.exe%22%0A%20%20%20%20)%0A%20%20%20%20_time%20%3D%20(%0A%20%20%20%20%20%20%20%20triggered_action.get(%22TargetProcessCreationTime%22%2C%20%22%22)%0A%20%20%20%20%20%20%20%20if%20triggered_action%20and%20triggered_action.get(%22ProcessId%22)%0A%20%20%20%20%20%20%20%20else%20%222026-03-15T08%3A16%3A00%22%0A%20%20%20%20)%0A%0A%20%20%20%20_all_events%20%3D%20get_events_for_process(_pid)%0A%0A%20%20%20%20_header%20%3D%20mo.Html(%0A%20%20%20%20%20%20%20%20f%22%22%22%3Cdiv%20style%3D%22display%3Aflex%3Balign-items%3Acenter%3Bgap%3A12px%3Bpadding%3A8px%2012px%3B%0A%20%20%20%20%20%20%20%20background%3Avar(--card)%3Bborder%3A1px%20solid%20var(--border)%3Bborder-radius%3A6px%3Bmargin-bottom%3A4px%22%3E%0A%20%20%20%20%20%20%20%20%3Cspan%20style%3D%22font-family%3Amonospace%3Bfont-size%3A14px%3Bfont-weight%3A700%3B%0A%20%20%20%20%20%20%20%20color%3Avar(--foreground)%22%3E%7B_name%7D%3C%2Fspan%3E%0A%20%20%20%20%20%20%20%20%3Cspan%20style%3D%22background%3Avar(--muted)%3Bcolor%3Avar(--muted-foreground)%3B%0A%20%20%20%20%20%20%20%20border-radius%3A4px%3Bpadding%3A2px%208px%3Bfont-size%3A11px%3Bfont-family%3Amonospace%22%3EPID%20%7B_pid%7D%3C%2Fspan%3E%0A%20%20%20%20%20%20%20%20%3Cspan%20style%3D%22color%3Avar(--muted-foreground)%3Bfont-size%3A11px%3B%0A%20%20%20%20%20%20%20%20font-family%3Amonospace%22%3E%7B_time%7D%3C%2Fspan%3E%0A%20%20%20%20%20%20%20%20%3C%2Fdiv%3E%22%22%22%0A%20%20%20%20)%0A%0A%20%20%20%20def%20_hover(row_id%2C%20col%2C%20value)%3A%0A%20%20%20%20%20%20%20%20if%20col%20in%20(%22FolderPath%22%2C%20%22RegistryKey%22%2C%20%22RegistryValueData%22%2C%20%22RemoteUrl%22)%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20return%20str(value)%0A%20%20%20%20%20%20%20%20return%20None%0A%0A%20%20%20%20def%20_make_tab(records%2C%20name)%3A%0A%20%20%20%20%20%20%20%20if%20not%20records%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20return%20mo.callout(mo.md(f%22No%20%7Bname%7D%20events%20for%20this%20process.%22)%2C%20kind%3D%22neutral%22)%0A%20%20%20%20%20%20%20%20_formatted%20%3D%20%5B%5D%0A%20%20%20%20%20%20%20%20for%20r%20in%20records%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20_row%20%3D%20%7B%7D%0A%20%20%20%20%20%20%20%20%20%20%20%20for%20k%2C%20v%20in%20r.items()%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20if%20k%20%3D%3D%20%22Timestamp%22%20and%20hasattr(v%2C%20%22strftime%22)%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20_row%5Bk%5D%20%3D%20v.strftime(%22%25H%3A%25M%3A%25S%22)%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20elif%20k%20%3D%3D%20%22FolderPath%22%20and%20len(str(v))%20%3E%2045%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20_row%5Bk%5D%20%3D%20%22...%22%20%2B%20str(v)%5B-42%3A%5D%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20else%3A%0A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20_row%5Bk%5D%20%3D%20v%0A%20%20%20%20%20%20%20%20%20%20%20%20_formatted.append(_row)%0A%20%20%20%20%20%20%20%20return%20mo.ui.table(%0A%20%20%20%20%20%20%20%20%20%20%20%20_formatted%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20selection%3DNone%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20page_size%3D20%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20hover_template%3D_hover%2C%0A%20%20%20%20%20%20%20%20)%0A%0A%20%20%20%20_tabs%20%3D%20mo.ui.tabs(%0A%20%20%20%20%20%20%20%20%7B%0A%20%20%20%20%20%20%20%20%20%20%20%20%22Image%20Load%22%3A%20_make_tab(_all_events%5B%22image_load%22%5D%2C%20%22image%20load%22)%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%22File%22%3A%20_make_tab(_all_events%5B%22file%22%5D%2C%20%22file%22)%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%22Network%22%3A%20_make_tab(_all_events%5B%22network%22%5D%2C%20%22network%22)%2C%0A%20%20%20%20%20%20%20%20%20%20%20%20%22Registry%22%3A%20_make_tab(_all_events%5B%22registry%22%5D%2C%20%22registry%22)%2C%0A%20%20%20%20%20%20%20%20%7D%2C%0A%20%20%20%20%20%20%20%20lazy%3DTrue%2C%0A%20%20%20%20)%0A%0A%20%20%20%20mo.output.replace(mo.vstack(%5B_header%2C%20_tabs.style(%7B%22min-height%22%3A%20%22350px%22%7D)%5D))%0A%20%20%20%20return%0A%0A%0Aif%20__name__%20%3D%3D%20%22__main__%22%3A%0A%20%20%20%20app.run()%0A