Hayabusa-Bulk-Runner

एक PowerShell रैपर जो Hayabusa को KAPE संग्रहों के एक फ़ोल्डर पर चलाता है, प्रति होस्ट एक रन, और परिणामों को एक एकल क्रॉस-होस्ट ट्राइएज व्यू में समेटता है।

Hayabusa पहले से ही -d के साथ एक पूरी डायरेक्टरी लेता है, और इसका HTML सारांश परिणामों को कंप्यूटर के अनुसार विभाजित करता है। KAPE संग्रहों का एक फ़ोल्डर अभी भी दो काम हाथ से करने के लिए छोड़ देता है। Hayabusa के पढ़ने से पहले प्रत्येक ZIP को निकालना और प्रत्येक डिस्क इमेज को माउंट करना पड़ता है, और उन सभी पर एक रन एक संयुक्त आउटपुट देता है, जिसमें प्रत्येक होस्ट के लिए अपनी कोई रिपोर्ट या टाइमलाइन नहीं होती। यह वह हिस्सा करता है। इसे प्रति होस्ट एक प्रविष्टि वाले फ़ोल्डर पर इंगित करें और आपको प्रत्येक होस्ट के लिए Hayabusa की HTML अलर्ट रिपोर्ट, एक CSV टाइमलाइन और एक लॉग, साथ ही एक डैशबोर्ड मिलता है जो दिखाता है कि कौन से होस्ट सबसे खराब हैं और कौन से नियम कहाँ चले।

पूर्ण उपयोग संदर्भ: docs/USAGE.md

स्क्रीनशॉट

आठ होस्ट पर एक रन के बाद डैशबोर्ड, गंभीरता सीमा मध्यम पर:

उसी रन के दौरान कंसोल:

यह क्या करता है

• प्रति होस्ट एक बार Hayabusa चलाता है, ताकि प्रत्येक होस्ट को एक संयुक्त आउटपुट के बजाय अपनी HTML रिपोर्ट, CSV टाइमलाइन और लॉग मिले।
• आपके लिए प्रत्येक KAPE ZIP निकालता है और प्रत्येक डिस्क इमेज माउंट करता है, फिर होस्ट पूरा होने पर सब कुछ फिर से हटा देता है।
• एक क्रॉस-होस्ट डैशबोर्ड बनाता है: गंभीरता के अनुसार कुल, जो नियम चले और प्रत्येक ने किन होस्ट को हिट किया, और प्रत्येक होस्ट सबसे खराब पहले क्रम में।
• होस्ट नाम Hayabusa के अपने Computer फ़ील्ड से पढ़ता है, ताकि KAPE द्वारा ड्राइव के नाम पर रखा गया ढीला आउटपुट भी सही होस्ट के अंतर्गत आ जाए।
• एक केस को फिर से शुरू करता है। वही कमांड दोबारा चलाएँ और यह पहले से पूर्ण हो चुके होस्ट को छोड़ देता है और बाकी को उठा लेता है।
• पूरे समय साक्ष्य को केवल-पढ़ने योग्य मानता है, और प्रत्येक इमेज के पहले-और-बाद के हैश से इसे साबित करता है।
• एक एंगेजमेंट कॉन्फ़िग लेता है ताकि एक केस में प्रत्येक होस्ट समान सेटिंग्स के विरुद्ध चले।

स्थिति

प्री-रिलीज़। इसे Windows पर वास्तविक Hayabusa 4.1.0 और KAPE इमेज और ZIP के विरुद्ध चलाया गया है, और टेस्ट सूट CI में Windows PowerShell 5.1, Windows पर PowerShell 7, और Linux पर PowerShell 7 पर चलता है। दो व्यवहारों की पुष्टि के लिए अभी भी सही साक्ष्य की आवश्यकता है, जो Not yet confirmed on Windows के अंतर्गत सूचीबद्ध हैं। किसी रिपोर्ट में उनमें से किसी एक पर भरोसा करने से पहले उस सूची की जाँच करें।

आवश्यकताएँ

• Windows। यह टूल केवल Windows पर Hayabusa चलाता है और डिस्क इमेज माउंट करता है। रोलअप को कहीं भी जहाँ PowerShell चलता है, फिर से बनाया जा सकता है।
• Windows PowerShell 5.1 या PowerShell 7।
• अपने नियमों के साथ Hayabusa 4.1.0। एंगेजमेंट की शुरुआत में एक बार hayabusa.exe update-rules चलाएँ और इसे पूरा होने तक नियमों को अकेला छोड़ दें, ताकि प्रत्येक होस्ट को समान सेट के विरुद्ध जाँचा जाए।
• यदि कोई संग्रह डिस्क इमेज है, जिसमें ZIP के अंदर की डिस्क इमेज भी शामिल है, तो एक एलिवेटेड सेशन।

इसे प्राप्त करना

रिपॉज़िटरी क्लोन करें, या इसे GitHub से ZIP के रूप में डाउनलोड करके निकालें:

git clone https://github.com/rorywag/Hayabusa-Bulk-Runner.git

lib फ़ोल्डर को दोनों स्क्रिप्ट्स के बगल में रखें, क्योंकि वे सब कुछ उसी से लोड करती हैं। Windows डाउनलोड किए गए ZIP से आने वाली फ़ाइलों को इंटरनेट से आने के रूप में चिह्नित करता है। नीचे दिखाई गई Process-scope execution policy पहले से ही उन्हें अनुमति देती है, इसलिए अनब्लॉक करने के लिए कुछ नहीं है।

त्वरित शुरुआत

.\Invoke-BulkHayabusa.ps1 -InputRoot D:\Cases\Case01\KAPE -OutputRoot D:\Cases\Case01\Output -HayabusaPath D:\Tools\hayabusa\hayabusa.exe

यह चलते समय प्रति होस्ट एक पंक्ति प्रिंट करता है, फिर एक संक्षिप्त सारांश और कहाँ देखना है:

[1/4] DC01 ... Completed, 12 detections
[2/4] FS02 ... Completed, 6 detections
WARNING: [3/4] WS03 ... Failed: Hayabusa exited with code 2. See D:\Cases\Case01\Output\WS03\WS03_hayabusa.log. No CSV was written.
[4/4] WS04 ... skipped, already Completed
Done: 3 processed, 2 completed, 0 completed with errors, 1 failed, 1 skipped.
Output is in D:\Cases\Case01\Output. Open triage_dashboard.html there to start triage.

एक नई PowerShell विंडो में स्क्रिप्ट execution policy द्वारा अवरुद्ध हो सकती है। यह इसे केवल उस विंडो के लिए अनुमति देता है, और मशीन पर कुछ नहीं बदलता:

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass

.\Invoke-BulkHayabusa.ps1 -Help, या -h, एक संक्षिप्त उपयोग सारांश प्रिंट करता है। पूर्ण पैरामीटर सूची, काम किए गए उदाहरण, इनपुट और आउटपुट मॉडल और एंगेजमेंट कॉन्फ़िग के लिए, docs/USAGE.md देखें।

साक्ष्य अखंडता

साक्ष्य को केवल पढ़ा जाता है।

• डिस्क इमेज कभी सीधे माउंट नहीं की जातीं। KAPE इमेज बनाते समय डर्टी होती हैं, इसलिए केवल-पढ़ने योग्य माउंट कोई वॉल्यूम नहीं दिखाता। इसके बजाय टूल OutputRoot\_diff के अंतर्गत एक डिफ़रेंसिंग डिस्क माउंट करता है जिसका पैरेंट साक्ष्य इमेज होती है। Windows जर्नल को चाइल्ड में रीप्ले करता है और पैरेंट केवल पढ़ा जाता है, KAPE आउटपुट पर पैरेंट के हैश के पहले और बाद में समान होने से जाँचा गया।
• पहले से अटैच एक इमेज को अस्वीकार कर दिया जाता है, पुनः उपयोग या डिसमाउंट नहीं किया जाता, क्योंकि इस रन ने इसे अटैच नहीं किया।
• ZIP को OutputRoot\_work के अंतर्गत एक वर्किंग कॉपी में निकाला जाता है। ZIP स्वयं केवल पढ़ा जाता है।
• प्रत्येक होस्ट के बाद, टियरडाउन एक निश्चित क्रम में चलता है, चाहे कुछ भी हुआ हो: यदि कोई उपयोग किया गया था तो फ़ोल्डर माउंट पॉइंट हटाएँ, चाइल्ड डिसमाउंट करें, खाली माउंट फ़ोल्डर हटाएँ, चाइल्ड हटाएँ, एक्सट्रैक्ट हटाएँ। किसी ऐसे फ़ोल्डर के माध्यम से कभी भी पुनरावर्ती रूप से कुछ नहीं हटाया जाता जो अभी भी माउंट पॉइंट हो सकता है। टूल केवल अपने स्वयं के _work, _mnt और _diff फ़ोल्डरों के अंदर हटाता है, साथ ही उस होस्ट को दोबारा चलाने से ठीक पहले उस होस्ट की अपनी पिछली रिपोर्ट और टाइमलाइन। यदि डिसमाउंट विफल हो जाता है, तो उसके बाद सब कुछ यथावत छोड़ दिया जाता है और त्रुटि बताती है कि अभी भी क्या मौजूद है।
• OutputRoot को अस्वीकार कर दिया जाता है यदि उसका पथ InputRoot के अंदर है, ताकि आउटपुट साक्ष्य के बगल में न आए।
• साक्ष्य से कुछ भी कभी नहीं चलाया जाता। इससे प्राप्त मान, जैसे नियम शीर्षक और कंप्यूटर नाम, जहाँ भी लिखे जाते हैं वहाँ एन्कोड किए जाते हैं।

दस्तावेज़ीकरण

docs/USAGE.md बाकी सब कुछ कवर करता है:

• प्रत्येक कमांड-लाइन पैरामीटर, काम किए गए उदाहरणों के साथ
• InputRoot प्रविष्टियाँ कैसे पढ़ी जाती हैं: फ़ोल्डर, डिस्क इमेज और ZIP
• ZIP हैंडलिंग, और आकार तथा लंबे-पथ की सीमाएँ
• आउटपुट की पूरी सूची और टूल के वर्किंग फ़ोल्डर
• दोबारा चलाना, फिर से शुरू करना और प्रत्येक स्थिति का क्या अर्थ है
• एंगेजमेंट कॉन्फ़िग और यह जो भी सेटिंग लेता है
• टेस्ट चलाना

सुरक्षा

किसी भेद्यता की निजी तौर पर रिपोर्ट कैसे करें, इसके लिए SECURITY.md देखें।

लाइसेंस

MIT। LICENSE देखें।