Hayabusa-Bulk-Runner

غلاف PowerShell يقوم بتشغيل Hayabusa على مجلد من مجموعات KAPE، تشغيل واحد لكل مضيف، ويجمع النتائج في عرض فرز واحد عبر المضيفين.

Hayabusa بالفعل يأخذ مجلدًا كاملًا باستخدام -d، وملخص HTML الخاص به يقسّم النتائج حسب الحاسوب. مجلد من مجموعات KAPE لا يزال يترك مهمتين يجب القيام بهما يدويًا. يجب استخراج كل ZIP وتركيب كل صورة قرص قبل أن يتمكن Hayabusa من قراءتها، والتشغيل على جميعها يعطي مخرجات مدمجة واحدة، بدون تقرير أو خط زمني خاص بكل مضيف. هذه الأداة تقوم بذلك الجزء. وجّهها إلى مجلد يحتوي على مدخل واحد لكل مضيف وستحصل، لكل مضيف، على تقرير تنبيهات HTML من Hayabusa، وخط زمني CSV وسجل، بالإضافة إلى لوحة تحكم تُظهر أي المضيفين الأسوأ وأي القواعد انطلقت وأين.

مرجع الاستخدام الكامل: docs/USAGE.md

لقطات الشاشة

لوحة التحكم بعد تشغيل على ثمانية مضيفين، مع الحد الأدنى للخطورة عند medium:

وحدة التحكم أثناء نفس التشغيل:

ما الذي تقوم به

• تشغّل Hayabusa مرة واحدة لكل مضيف، بحيث يحصل كل مضيف على تقرير HTML الخاص به، وخط زمني CSV وسجل بدلاً من مخرجات مدمجة واحدة.
• تستخرج كل ZIP من KAPE وتركّب كل صورة قرص نيابة عنك، ثم تفكك كل ذلك مرة أخرى بمجرد الانتهاء من المضيف.
• تبني لوحة تحكم عبر المضيفين: الإجماليات حسب الخطورة، القواعد التي انطلقت والمضيفين الذين أصابتهم كل واحدة، وكل مضيف مرتب من الأسوأ أولاً.
• تقرأ اسم المضيف من حقل Computer الخاص بـ Hayabusa نفسه، بحيث تندرج المخرجات غير المرتبطة التي سمّاها KAPE باسم محرك الأقراص تحت المضيف الصحيح.
• تستأنف حالة. شغّل نفس الأمر مرة أخرى وستتخطى المضيفين المنتهين بالفعل وتستكمل الباقي.
• تتعامل مع الأدلة كقراءة فقط طوال العملية، وتثبت ذلك بتجزئة قبل وبعد لكل صورة.
• تأخذ إعدادات المهمة بحيث يعمل كل مضيف في الحالة بنفس الإعدادات.

الحالة

إصدار ما قبل الإطلاق. تم تشغيله مقابل Hayabusa 4.1.0 الحقيقي وصور وملفات ZIP من KAPE على Windows، ومجموعة الاختبارات تعمل في CI على Windows PowerShell 5.1، وPowerShell 7 على Windows، وPowerShell 7 على Linux. سلوكان لا يزالان بحاجة إلى الأدلة المناسبة للتأكيد، مذكوران تحت Not yet confirmed on Windows. تحقق من تلك القائمة قبل الاعتماد على أحدهما في تقرير.

المتطلبات

• Windows. هذه الأداة تشغّل Hayabusa وتركّب صور الأقراص على Windows فقط. يمكن إعادة بناء التجميع في أي مكان يعمل فيه PowerShell.
• Windows PowerShell 5.1 أو PowerShell 7.
• Hayabusa 4.1.0 مع قواعده. شغّل hayabusa.exe update-rules مرة واحدة في بداية المهمة واترك القواعد دون تغيير حتى الانتهاء، بحيث يتم فحص كل مضيف مقابل نفس المجموعة.
• جلسة مرتفعة الصلاحيات إذا كانت أي مجموعة عبارة عن صورة قرص، بما في ذلك صورة قرص داخل ZIP.

الحصول عليه

استنسخ المستودع، أو نزّله كملف ZIP من GitHub واستخرجه:

git clone https://github.com/rorywag/Hayabusa-Bulk-Runner.git

احتفظ بمجلد lib بجانب السكربتين، لأنهما يحمّلان كل شيء منه. يضع Windows علامة على الملفات من ZIP الذي تم تنزيله على أنها قادمة من الإنترنت. سياسة تنفيذ نطاق Process الموضحة أدناه تسمح بها بالفعل، لذا لا يوجد شيء لإلغاء حظره.

البدء السريع

.\Invoke-BulkHayabusa.ps1 -InputRoot D:\Cases\Case01\KAPE -OutputRoot D:\Cases\Case01\Output -HayabusaPath D:\Tools\hayabusa\hayabusa.exe

يطبع سطرًا واحدًا لكل مضيف أثناء تقدمه، ثم ملخصًا قصيرًا وأين تبحث:

[1/4] DC01 ... Completed, 12 detections
[2/4] FS02 ... Completed, 6 detections
WARNING: [3/4] WS03 ... Failed: Hayabusa exited with code 2. See D:\Cases\Case01\Output\WS03\WS03_hayabusa.log. No CSV was written.
[4/4] WS04 ... skipped, already Completed
Done: 3 processed, 2 completed, 0 completed with errors, 1 failed, 1 skipped.
Output is in D:\Cases\Case01\Output. Open triage_dashboard.html there to start triage.

في نافذة PowerShell جديدة قد يتم حظر السكربت بواسطة سياسة التنفيذ. هذا يسمح به لتلك النافذة فقط، ولا يغيّر شيئًا على الجهاز:

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass

.\Invoke-BulkHayabusa.ps1 -Help، أو -h، يطبع ملخص استخدام قصير. للحصول على قائمة المعاملات الكاملة، والأمثلة العملية، ونموذج الإدخال والإخراج وإعدادات المهمة، راجع docs/USAGE.md.

سلامة الأدلة

يتم قراءة الأدلة فقط.

• لا يتم تركيب صور الأقراص مباشرة أبدًا. صور KAPE تكون غير نظيفة عند إنشائها، لذا فإن التركيب للقراءة فقط لا يُظهر أي وحدة تخزين على الإطلاق. بدلاً من ذلك، تركّب الأداة قرصًا تفاضليًا تحت OutputRoot\_diff مع صورة الأدلة كأصل له. يعيد Windows تشغيل السجل في الفرع والأصل يُقرأ فقط، وتم التحقق على مخرجات KAPE مع بقاء تجزئة الأصل نفسها قبل وبعد.
• يتم رفض صورة مرتبطة بالفعل، وليس إعادة استخدامها أو فصلها، لأن هذا التشغيل لم يرتبط بها.
• يتم استخراج ملفات ZIP إلى نسخة عمل تحت OutputRoot\_work. يُقرأ ملف ZIP نفسه فقط.
• بعد كل مضيف، يتم التنفيذ بترتيب ثابت، مهما حدث: إزالة نقطة تركيب المجلد إذا تم استخدامها، فصل الفرع، إزالة مجلد التركيب الفارغ، حذف الفرع، حذف المستخرج. لا يتم حذف أي شيء بشكل متكرر عبر مجلد قد يكون لا يزال نقطة تركيب. تحذف الأداة فقط داخل مجلداتها الخاصة _work و_mnt و_diff، بالإضافة إلى تقرير المضيف السابق والخط الزمني الخاص به قبل إعادة تشغيل ذلك المضيف مباشرة. إذا فشل الفصل، يُترك كل شيء بعده في مكانه ويوضح الخطأ ما لا يزال موجودًا.
• يتم رفض OutputRoot إذا كان مساره داخل InputRoot، بحيث لا تندرج المخرجات بجانب الأدلة.
• لا يتم تشغيل أي شيء من الأدلة أبدًا. القيم منها، مثل عناوين القواعد وأسماء الحواسيب، يتم ترميزها أينما تم كتابتها.

التوثيق

docs/USAGE.md يغطي الباقي:

• كل معامل سطر أوامر، مع أمثلة عملية
• كيفية قراءة مدخلات InputRoot: المجلدات، صور الأقراص وملفات ZIP
• التعامل مع ZIP، وحدود الحجم والمسار الطويل
• القائمة الكاملة للمخرجات ومجلدات عمل الأداة
• إعادة التشغيل، والاستئناف، وما تعنيه كل حالة
• إعدادات المهمة وكل إعداد تأخذه
• تشغيل الاختبارات

الأمان

راجع SECURITY.md لمعرفة كيفية الإبلاغ عن ثغرة بشكل خاص.

الترخيص

MIT. راجع LICENSE.

هذه الأداة مستقلة وليست تابعة لـ Yamato Security أو معتمدة منها. تشغّل Hayabusa كبرنامج خارجي منفصل ولا تتضمن أيًا من شفرته. Hayabusa منشور من Yamato Security تحت GNU AGPL-3.0، وقواعد الكشف الخاصة به تحت تراخيصها الخاصة. نزّل Hayabusa وقواعده من Yamato Security.