الوظائف:

• 🐏 التقاط صورة ذاكرة باستخدام MAGNET DumpIt (يدعم x86 و x64 و ARM64) أو MAGNET RAM Capture للأنظمة القديمة.
• 💻 جمع بيانات الفحص الأولي باستخدام MAGNET Response CLI، مع ملفات تعريف قابلة للتحديد أو خيارات مخصصة.
• 🔐 الكشف عن تشفير القرص الكامل باستخدام MAGNET Encrypted Disk Detector.
• 🔑 استرداد مفاتيح استرداد BitLocker من جميع الأقسام المشفرة.
• 💾 تخزين البيانات والمجموعة والسجلات وصور الذاكرة على جهاز USB أو موقع شبكة محدد.
• 📈 مراقبة التقدم في الوقت الفعلي أثناء الجمع.
• 📄 تقارير شاملة مع البيانات المتطايرة قبل الجمع وهاشات التكامل.

تشمل ملفات تعريف الجمع:

• QuickTriage - بيانات متطايرة + ملفات النظام (بدون RAM) - يكتمل في حوالي دقيقتين
• Volatile - فقط البيانات المتطايرة (اتصالات الشبكة، السجل، العمليات الجارية)
• RAMOnly - تفريغ الذاكرة فقط
• RAMPage - RAM + ملف الصفحة
• RAMSystem - RAM + ملفات النظام الحرجة
• الافتراضي (الفرز الكامل) - RAM + ملف الصفحة + بيانات متطايرة + آثار النظام

المتطلبات الأساسية:

• MAGNET Response
• MAGNET Encrypted Disk Detector

التجميعات عبر الشبكة:

يدعم CyberPipe حفظ المخرجات مباشرة إلى مشاركة شبكة باستخدام المعامل -Net. ببساطة حدد مسار UNC (مثلاً \\server\share) وسيقوم السكربت تلقائياً بتعيين محرك الأقراص الشبكي وتنفيذ الجمع. هذا مثالي لسير عمل الطب الشرعي الرقمي والاستجابة للحوادث الآلي الناتج عن تنبيهات EDR أو SOC.

.\CyberPipe.ps1 -Net "\\server\share"

الجديد في الإصدار 5.3:

إصلاح خطأ حاسم في رمز الخروج لـ PowerShell 5.1

• تم الإصلاح: فشل زائف في Windows PowerShell 5.1 بعد جمع ناجح عبر Magnet Response
• السبب الجذري: خطأ في PS 5.1 حيث لا يتم تعبئة $process.ExitCode بشكل موثوق بعد WaitForExit()
• الحل: تم تنفيذ تحقق مزدوج:
  • التحقق من رمز خروج العملية مع تحديث الكائن
  • التحقق من جمع الملفات (مؤشر نجاح أكثر موثوقية)
  • معالجة ذكية للأخطاء: يستمر إذا تم جمع الملفات بنجاح على الرغم من رمز الخروج غير الصفري

تحسين الموثوقية

• يتحقق منطق التحقق المحسن من الآثار الفعلية التي تم جمعها بدلاً من الاعتماد فقط على رموز الخروج
• معالجة سلسة للخصائص الخاصة بإصدارات PowerShell
• رسائل خطأ أفضل تميز بين حالات الفشل الحقيقية ومشكلات الإبلاغ في PS 5.1

أمثلة الاستخدام:

• تشغيل الفرز الكامل (ملف التعريف الافتراضي) إلى محرك أقراص USB محلي: (RAM، ملف الصفحة، بيانات متطايرة، ملفات النظام)

  root@kitploit:~

  .\CyberPipe.ps1 
  

• تشغيل التقاط RAM وملفات نظام التشغيل (فرز خفيف):

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMSystem
  

• تشغيل التقاط الذاكرة فقط:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMOnly
  

• تشغيل التقاط RAM وملف الصفحة:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMPage
  

• تشغيل التقاط RAM وملفات نظام التشغيل (فرز خفيف):

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMSystem
  

• تشغيل التقاط البيانات المتطايرة فقط:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile Volatile
  

• تشغيل الفرز السريع (جمع سريع):

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile QuickTriage
  

• تشغيل الفرز الكامل مع الضغط:

  root@kitploit:~

  .\CyberPipe.ps1 -Compress
  

هيكل دليل الأدوات:

• التجميعات عبر USB: يجب أن يكون دليل Tools موجودًا بجانب السكربت:

  root@kitploit:~

  E:\Triage\CyberPipe\CyberPipe.ps1
  E:\Triage\CyberPipe\Tools\
  

• التجميعات عبر الشبكة: يجب وضع دليل Tools في جذر المشاركة الشبكية:

  root@kitploit:~

  \\Server\share\Tools\
  

الإصدار السابق (دعم KAPE):

إذا كنت قد استخدمت سابقًا CyberPipe مع KAPE (قبل الإصدار 5)، فإن سير العمل القديم لا يزال متاحًا في CyberPipe.v4.01.ps1.

ملاحظة: كان CyberPipe يُعرف سابقًا باسم CSIRT-Collect. تمت إعادة تسمية المشروع بدءًا من الإصدار 4.0.

لمزيد من المعلومات، قم بزيارة Baker Street Forensics