Funktionen:

• 🐏 Erfassen eines Speicherabbilds mit MAGNET DumpIt (unterstützt x86, x64 und ARM64) oder MAGNET RAM Capture für ältere Systeme.
• 💻 Sammeln von Triage-Daten mit MAGNET Response CLI, mit auswählbaren Profilen oder benutzerdefinierten Optionen.
• 🔐 Erkennung vollständiger Festplattenverschlüsselung mit MAGNET Encrypted Disk Detector.
• 🔑 Wiederherstellung von BitLocker-Wiederherstellungsschlüsseln von allen verschlüsselten Volumes.
• 💾 Speichern der gesammelten Daten, Protokolle und Speicherabbilder auf einem USB-Gerät oder einem definierten Netzwerkpfad.
• 📈 Echtzeit-Fortschrittsüberwachung während der Erfassung.
• 📄 Umfassende Berichterstellung mit flüchtigen Daten vor der Erfassung und Integritäts-Hashes.

Erfassungsprofile umfassen:

• QuickTriage - Flüchtige Daten + Systemdateien (kein RAM) - abgeschlossen in ~2 Minuten
• Volatile - Nur flüchtige Daten (Netzwerkverbindungen, Registry, laufende Prozesse)
• RAMOnly - Nur Speicherabbild
• RAMPage - RAM + Auslagerungsdatei
• RAMSystem - RAM + Kritische Systemdateien
• Default (Full Triage) - RAM + Auslagerungsdatei + Flüchtige Daten + System-Artefakte

Voraussetzungen:

• MAGNET Response
• MAGNET Encrypted Disk Detector

Netzwerkerfassungen:

CyberPipe unterstützt das direkte Speichern der Ausgabe auf einer Netzwerkfreigabe mit dem Parameter -Net. Geben Sie einfach den UNC-Pfad an (z. B. \\server\share), und das Skript wird automatisch das Netzlaufwerk zuordnen und die Erfassung durchführen. Dies ist ideal für automatisierte DFIR-Workflows, die durch EDR- oder SOC-Warnungen ausgelöst werden.

.\CyberPipe.ps1 -Net "\\server\share"

Neu in 5.3:

Kritischer Fehlerbehebung für PS 5.1 Exit-Code

• Gefixt: Fälschliche Fehlschläge in Windows PowerShell 5.1 nach erfolgreicher Magnet Response-Erfassung.
• Ursache: Fehler in PS 5.1, bei dem $process.ExitCode nach WaitForExit() nicht zuverlässig gesetzt wurde.
• Lösung: Implementierte doppelte Validierung:
  • Überprüfung des Prozess-Exit-Codes mit Objektaktualisierung
  • Dateierfassungsverifikation (zuverlässigerer Erfolgsindikator)
  • Intelligente Fehlerbehandlung: Fortsetzung, wenn Dateien trotz Exit-Code ungleich Null erfolgreich erfasst wurden.

Verbesserte Zuverlässigkeit

• Erweiterte Validierungslogik prüft auf tatsächlich gesammelte Artefakte, anstatt sich ausschließlich auf Exit-Codes zu verlassen.
• Graziöse Handhabung von PowerShell-Versionsspezifischen Eigenheiten.
• Bessere Fehlermeldungen unterscheiden zwischen echten Fehlern und PS 5.1-Berichtsproblemen.

Verwendungsbeispiele:

• Vollständige Triage (Standard-Erfassungsprofil) auf lokales USB-Laufwerk ausführen: (RAM, Auslagerungsdatei, flüchtige Daten, Systemdateien)

  root@kitploit:~

  .\CyberPipe.ps1 
  

• RAM und Betriebssystemdateien (leichte Triage) erfassen:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMSystem
  

• Nur Speicher erfassen:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMOnly
  

• RAM und Auslagerungsdatei erfassen:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMPage
  

• RAM und Betriebssystemdateien (leichte Triage) erfassen:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMSystem
  

• Nur flüchtige Daten erfassen:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile Volatile
  

• Schnelle Triage (schnelle Erfassung):

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile QuickTriage
  

• Vollständige Triage mit Komprimierung:

  root@kitploit:~

Verzeichnisstruktur der Tools:

• USB-Erfassungen: Das Tools-Verzeichnis sollte sich neben dem Skript befinden:

  root@kitploit:~

  E:\Triage\CyberPipe\CyberPipe.ps1
  E:\Triage\CyberPipe\Tools\
  

• Netzwerkerfassungen: Das Tools-Verzeichnis sollte im Stammverzeichnis der Netzwerkfreigabe platziert werden:

  root@kitploit:~

  \\Server\share\Tools\
  

Vorherige Version (KAPE-Unterstützung):

Wenn Sie zuvor CyberPipe mit KAPE (vor v5) verwendet haben, bleibt der ältere Workflow in CyberPipe.v4.01.ps1 verfügbar.

Hinweis: CyberPipe hieß früher CSIRT-Collect. Das Projekt wurde ab Version 4.0 umbenannt.

Weitere Informationen finden Sie unter Baker Street Forensics