Hayabusa-Bulk-Runner

Un wrapper PowerShell qui exécute Hayabusa sur un dossier de collections KAPE, une exécution par hôte, et consolide les résultats en une vue de triage unique inter-hôtes.

Hayabusa accepte déjà un répertoire entier avec -d, et son résumé HTML détaille les résultats par ordinateur. Un dossier de collections KAPE laisse néanmoins deux tâches à faire manuellement. Chaque ZIP doit être extrait et chaque image disque montée avant que Hayabusa puisse la lire, et une exécution sur l'ensemble produit une sortie combinée unique, sans rapport ni chronologie propre à chaque hôte. Cet outil s'occupe de cette partie. Pointez-le vers un dossier contenant une entrée par hôte et vous obtenez, pour chaque hôte, le rapport d'alertes HTML de Hayabusa, une chronologie CSV et un journal, plus un tableau de bord indiquant quels hôtes sont les plus touchés et quelles règles ont été déclenchées où.

Référence d'utilisation complète : docs/USAGE.md

Captures d'écran

Le tableau de bord après une exécution sur huit hôtes, avec le seuil de sévérité à moyen :

La console pendant la même exécution :

Ce qu'il fait

• Exécute Hayabusa une fois par hôte, de sorte que chaque hôte dispose de son propre rapport HTML, de sa chronologie CSV et de son journal au lieu d'une sortie combinée unique.
• Extrait chaque ZIP KAPE et monte chaque image disque pour vous, puis démonte tout une fois l'hôte terminé.
• Construit un tableau de bord inter-hôtes : totaux par sévérité, les règles déclenchées et les hôtes concernés par chacune, et chaque hôte classé du plus touché au moins touché.
• Lit le nom d'hôte depuis le champ Computer de Hayabusa lui-même, de sorte qu'une sortie libre que KAPE a nommée d'après un lecteur soit tout de même rattachée au bon hôte.
• Reprend un cas. Relancez la même commande et il ignore les hôtes déjà terminés et reprend les autres.
• Traite les preuves en lecture seule tout au long du processus, et le prouve par un hachage avant/après de chaque image.
• Prend une configuration d'engagement afin que chaque hôte d'un cas s'exécute avec les mêmes paramètres.

Statut

Pré-version. Il a été exécuté contre de vraies images et ZIP Hayabusa 4.1.0 et KAPE sous Windows, et la suite de tests s'exécute en CI sur Windows PowerShell 5.1, PowerShell 7 sous Windows et PowerShell 7 sous Linux. Deux comportements nécessitent encore les bonnes preuves pour être confirmés, listés sous Not yet confirmed on Windows. Consultez cette liste avant de vous appuyer sur l'un d'eux dans un rapport.

Prérequis

• Windows. Cet outil exécute Hayabusa et monte des images disque sous Windows uniquement. La consolidation peut être reconstruite partout où PowerShell s'exécute.
• Windows PowerShell 5.1 ou PowerShell 7.
• Hayabusa 4.1.0 avec ses règles. Exécutez hayabusa.exe update-rules une fois au début de l'engagement et ne touchez plus aux règles jusqu'à la fin, afin que chaque hôte soit vérifié contre le même ensemble.
• Une session élevée si une collection est une image disque, y compris une image disque à l'intérieur d'un ZIP.

Obtention

Clonez le dépôt, ou téléchargez-le en ZIP depuis GitHub et extrayez-le :

git clone https://github.com/rorywag/Hayabusa-Bulk-Runner.git

Gardez le dossier lib à côté des deux scripts, car ils chargent tout depuis celui-ci. Windows marque les fichiers provenant d'un ZIP téléchargé comme provenant d'Internet. La politique d'exécution de portée Process indiquée ci-dessous les autorise déjà, donc il n'y a rien à débloquer.

Démarrage rapide

.\Invoke-BulkHayabusa.ps1 -InputRoot D:\Cases\Case01\KAPE -OutputRoot D:\Cases\Case01\Output -HayabusaPath D:\Tools\hayabusa\hayabusa.exe

Il affiche une ligne par hôte au fur et à mesure, puis un court résumé et où regarder :

[1/4] DC01 ... Completed, 12 detections
[2/4] FS02 ... Completed, 6 detections
WARNING: [3/4] WS03 ... Failed: Hayabusa exited with code 2. See D:\Cases\Case01\Output\WS03\WS03_hayabusa.log. No CSV was written.
[4/4] WS04 ... skipped, already Completed
Done: 3 processed, 2 completed, 0 completed with errors, 1 failed, 1 skipped.
Output is in D:\Cases\Case01\Output. Open triage_dashboard.html there to start triage.

Dans une nouvelle fenêtre PowerShell, le script peut être bloqué par la politique d'exécution. Ceci l'autorise pour cette fenêtre uniquement, et ne change rien sur la machine :

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass

.\Invoke-BulkHayabusa.ps1 -Help, ou -h, affiche un court résumé d'utilisation. Pour la liste complète des paramètres, des exemples concrets, le modèle d'entrée et de sortie et la configuration d'engagement, voir docs/USAGE.md.

Intégrité des preuves

Les preuves sont uniquement lues.

• Les images disque ne sont jamais montées directement. Les images KAPE sont sales lorsqu'elles sont créées, donc un montage en lecture seule n'affiche aucun volume du tout. À la place, l'outil monte un disque de différenciation sous OutputRoot\_diff avec l'image de preuve comme parent. Windows rejoue le journal dans l'enfant et le parent est uniquement lu, vérifié sur la sortie KAPE avec le hachage du parent identique avant et après.
• Une image déjà attachée est refusée, ni réutilisée ni démontée, puisque cette exécution ne l'a pas attachée.
• Les ZIP sont extraits vers une copie de travail sous OutputRoot\_work. Le ZIP lui-même est uniquement lu.
• Après chaque hôte, le démontage s'exécute dans un ordre fixe, quoi qu'il arrive : supprimer le point de montage du dossier s'il a été utilisé, démonter l'enfant, supprimer le dossier de montage vide, supprimer l'enfant, supprimer l'extraction. Rien n'est jamais supprimé récursivement à travers un dossier qui pourrait encore être un point de montage. L'outil ne supprime qu'à l'intérieur de ses propres dossiers _work, _mnt et _diff, plus le rapport et la chronologie précédents d'un hôte juste avant que cet hôte soit relancé. Si un démontage échoue, tout ce qui suit est laissé en place et l'erreur indique ce qui reste.
• OutputRoot est refusé si son chemin se trouve à l'intérieur d'InputRoot, afin que la sortie ne se retrouve pas à côté des preuves.
• Rien provenant des preuves n'est jamais exécuté. Les valeurs qui en proviennent, telles que les titres de règles et les noms d'ordinateurs, sont encodées partout où elles sont écrites.

Documentation

docs/USAGE.md couvre le reste :