Hayabusa-Bulk-Runner

Un envoltorio de PowerShell que ejecuta Hayabusa sobre una carpeta de colecciones KAPE, una ejecución por host, y consolida los resultados en una única vista de triaje entre hosts.

Hayabusa ya acepta un directorio completo con -d, y su resumen HTML desglosa los resultados por equipo. Una carpeta de colecciones KAPE todavía deja dos tareas por hacer a mano. Cada ZIP debe extraerse y cada imagen de disco montarse antes de que Hayabusa pueda leerla, y una ejecución sobre todas ellas da una salida combinada, sin informe ni línea temporal propia para cada host. Esto hace esa parte. Apúntalo a una carpeta con una entrada por host y obtendrás, para cada host, el informe de alertas HTML de Hayabusa, una línea temporal CSV y un registro, además de un panel que muestra qué hosts están peor y qué reglas se dispararon dónde.

Referencia completa de uso: docs/USAGE.md

Capturas de pantalla

El panel tras una ejecución sobre ocho hosts, con el umbral de severidad en medio:

La consola durante la misma ejecución:

Qué hace

• Ejecuta Hayabusa una vez por host, de modo que cada host obtiene su propio informe HTML, línea temporal CSV y registro en lugar de una salida combinada.
• Extrae cada ZIP de KAPE y monta cada imagen de disco por ti, y luego lo desmonta todo una vez que el host ha terminado.
• Construye un panel entre hosts: totales por severidad, las reglas que se dispararon y los hosts que alcanzó cada una, y cada host clasificado de peor a mejor.
• Lee el nombre del host desde el propio campo Computer de Hayabusa, de modo que la salida suelta que KAPE nombró con una letra de unidad sigue quedando bajo el host correcto.
• Reanuda un caso. Ejecuta el mismo comando de nuevo y omite los hosts ya finalizados y continúa con el resto.
• Trata la evidencia como de solo lectura en todo momento, y lo demuestra con un hash de antes y después de cada imagen.
• Acepta una configuración de encargo para que cada host de un caso se ejecute con los mismos ajustes.

Estado

Pre-lanzamiento. Se ha ejecutado contra imágenes y ZIPs reales de Hayabusa 4.1.0 y KAPE en Windows, y la suite de pruebas se ejecuta en CI sobre Windows PowerShell 5.1, PowerShell 7 en Windows y PowerShell 7 en Linux. Dos comportamientos aún necesitan la evidencia adecuada para confirmarse, listados en Aún no confirmado en Windows. Revisa esa lista antes de confiar en uno de ellos en un informe.

Requisitos

• Windows. Esta herramienta ejecuta Hayabusa y monta imágenes de disco solo en Windows. La consolidación puede reconstruirse en cualquier lugar donde se ejecute PowerShell.
• Windows PowerShell 5.1 o PowerShell 7.
• Hayabusa 4.1.0 con sus reglas. Ejecuta hayabusa.exe update-rules una vez al inicio del encargo y deja las reglas en paz hasta que termine, para que cada host se compruebe contra el mismo conjunto.
• Una sesión elevada si alguna colección es una imagen de disco, incluida una imagen de disco dentro de un ZIP.

Cómo obtenerlo

Clona el repositorio, o descárgalo como ZIP desde GitHub y extráelo:

git clone https://github.com/rorywag/Hayabusa-Bulk-Runner.git

Mantén la carpeta lib junto a los dos scripts, ya que cargan todo desde ella. Windows marca los archivos de un ZIP descargado como provenientes de internet. La política de ejecución de ámbito Process que se muestra a continuación ya los permite, así que no hay nada que desbloquear.

Inicio rápido

.\Invoke-BulkHayabusa.ps1 -InputRoot D:\Cases\Case01\KAPE -OutputRoot D:\Cases\Case01\Output -HayabusaPath D:\Tools\hayabusa\hayabusa.exe

Imprime una línea por host a medida que avanza, luego un breve resumen y dónde mirar:

[1/4] DC01 ... Completed, 12 detections
[2/4] FS02 ... Completed, 6 detections
WARNING: [3/4] WS03 ... Failed: Hayabusa exited with code 2. See D:\Cases\Case01\Output\WS03\WS03_hayabusa.log. No CSV was written.
[4/4] WS04 ... skipped, already Completed
Done: 3 processed, 2 completed, 0 completed with errors, 1 failed, 1 skipped.
Output is in D:\Cases\Case01\Output. Open triage_dashboard.html there to start triage.

En una ventana nueva de PowerShell, el script puede quedar bloqueado por la política de ejecución. Esto la permite solo para esa ventana, y no cambia nada en la máquina:

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass

.\Invoke-BulkHayabusa.ps1 -Help, o -h, imprime un breve resumen de uso. Para la lista completa de parámetros, ejemplos prácticos, el modelo de entrada y salida y la configuración del encargo, consulta docs/USAGE.md.

Integridad de la evidencia

La evidencia solo se lee.

• Las imágenes de disco nunca se montan directamente. Las imágenes KAPE están sucias cuando se crean, por lo que un montaje de solo lectura no muestra ningún volumen. En su lugar, la herramienta monta un disco de diferenciación bajo OutputRoot\_diff con la imagen de evidencia como su padre. Windows reproduce el diario en el hijo y el padre solo se lee, comprobado en la salida de KAPE con el hash del padre igual antes y después.
• Una imagen que ya está conectada se rechaza, no se reutiliza ni se desmonta, ya que esta ejecución no la conectó.
• Los ZIP se extraen a una copia de trabajo bajo OutputRoot\_work. El ZIP en sí solo se lee.
• Después de cada host, el desmontaje se ejecuta en un orden fijo, pase lo que pase: eliminar el punto de montaje de la carpeta si se usó uno, desmontar el hijo, eliminar la carpeta de montaje vacía, eliminar el hijo, eliminar la extracción. Nunca se elimina nada de forma recursiva a través de una carpeta que pueda seguir siendo un punto de montaje. La herramienta solo elimina dentro de sus propias carpetas _work, _mnt y _diff, además del informe y la línea temporal previos de un host justo antes de que ese host se vuelva a ejecutar. Si falla un desmontaje, todo lo posterior se deja en su sitio y el error indica qué sigue ahí.
• Se rechaza OutputRoot si su ruta está dentro de InputRoot, para que la salida no acabe junto a la evidencia.
• Nunca se ejecuta nada de la evidencia. Los valores de esta, como títulos de reglas y nombres de equipos, se codifican allí donde se escriben.

Documentación

docs/USAGE.md cubre el resto:

• Cada parámetro de línea de comandos, con ejemplos prácticos
• Cómo se leen las entradas de InputRoot: carpetas, imágenes de disco y ZIPs
• El manejo de ZIP, y los límites de tamaño y de rutas largas
• La lista completa de salidas y las carpetas de trabajo de la herramienta
• Reejecución, reanudación y qué significa cada estado
• La configuración del encargo y cada ajuste que acepta
• Ejecutar las pruebas

Seguridad

Consulta SECURITY.md para saber cómo informar de una vulnerabilidad de forma privada.

Licencia