Fonctions :

• 🐏 Capturer une image mémoire avec MAGNET DumpIt (prend en charge x86, x64 et ARM64) ou MAGNET RAM Capture pour les systèmes hérités.
• 💻 Collecter des données de triage à l'aide de MAGNET Response CLI, avec des profils sélectionnables ou des options personnalisées.
• 🔐 Détecter le chiffrement complet du disque avec MAGNET Encrypted Disk Detector.
• 🔑 Récupérer les clés de récupération BitLocker de tous les volumes chiffrés.
• 💾 Stocker les données collectées, les journaux et les images mémoire sur un périphérique USB ou un emplacement réseau défini.
• 📈 Suivi de progression en temps réel pendant la collecte.
• 📄 Rapports complets avec données volatiles pré-collecte et hachages d'intégrité.

Les profils de collecte incluent :

• QuickTriage - Volatiles + Fichiers système (sans RAM) - termine en ~2 minutes
• Volatile - Uniquement les données volatiles (connexions réseau, registre, processus en cours)
• RAMOnly - Uniquement vidage mémoire
• RAMPage - RAM + Fichier d'échange
• RAMSystem - RAM + Fichiers système critiques
• Default (Full Triage) - RAM + Fichier d'échange + Volatiles + Artefacts système

Prérequis :

• MAGNET Response
• MAGNET Encrypted Disk Detector

Collectes réseau :

CyberPipe permet d'enregistrer la sortie directement sur un partage réseau en utilisant le paramètre -Net. Il suffit de spécifier le chemin UNC (par exemple, \\server\share) et le script montera automatiquement le lecteur réseau et effectuera la collecte. C'est idéal pour les workflows DFIR automatisés déclenchés par des alertes EDR ou SOC.

.\CyberPipe.ps1 -Net "\\server\share"

Nouveautés dans 5.3 :

Correction critique du code de sortie PS 5.1

• Corrigé : Fausses erreurs dans Windows PowerShell 5.1 après une collecte réussie via Magnet Response
• Cause racine : Bogue PS 5.1 où $process.ExitCode n'est pas renseigné de manière fiable après WaitForExit()
• Solution : Mise en œuvre d'une double validation :
  • Vérification du code de sortie du processus avec actualisation de l'objet
  • Vérification de la collecte de fichiers (indicateur de succès plus fiable)
  • Gestion intelligente des erreurs : continue si les fichiers sont collectés avec succès malgré un code de sortie non nul

Fiabilité améliorée

• Logique de validation améliorée qui vérifie les artefacts réellement collectés plutôt que de se fier uniquement aux codes de sortie
• Gestion élégante des particularités spécifiques aux versions de PowerShell
• Meilleurs messages d'erreur distinguant les véritables échecs des problèmes de rapport PS 5.1

Exemples d'utilisation :

• Exécuter un triage complet (profil de collecte par défaut) sur un lecteur USB local : (RAM, fichier d'échange, données volatiles, fichiers système)

  root@kitploit:~

  .\CyberPipe.ps1 
  

• Exécuter une capture RAM et fichiers du système d'exploitation (triage léger) :

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMSystem
  

• Exécuter une capture mémoire uniquement :

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMOnly
  

• Exécuter une capture RAM et fichier d'échange :

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMPage
  

• Exécuter une capture RAM et fichiers du système d'exploitation (triage léger) :

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMSystem
  

• Exécuter une capture données volatiles uniquement :

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile Volatile
  

• Exécuter un triage rapide (collecte rapide) :

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile QuickTriage
  

Structure du répertoire des outils :

• Collectes USB : Le répertoire Tools doit être situé à côté du script :

  root@kitploit:~

  E:\Triage\CyberPipe\CyberPipe.ps1
  E:\Triage\CyberPipe\Tools\
  

• Collectes réseau : Le répertoire Tools doit être placé à la racine du partage réseau :

  root@kitploit:~

  \\Server\share\Tools\
  

Version antérieure (prise en charge KAPE) :

Si vous avez utilisé CyberPipe avec KAPE (avant v5), l'ancien flux de travail reste disponible dans CyberPipe.v4.01.ps1.

Note : CyberPipe était auparavant connu sous le nom de CSIRT-Collect. Le projet a été renommé à partir de la version 4.0.

Pour plus d'informations, visitez Baker Street Forensics