Funzioni:

• 🐏 Acquisisci un'immagine della memoria con MAGNET DumpIt (supporta x86, x64 e ARM64) o MAGNET RAM Capture per sistemi legacy.
• 💻 Raccogli dati di triage utilizzando MAGNET Response CLI, con profili selezionabili o opzioni personalizzate.
• 🔐 Rileva crittografia completa del disco utilizzando MAGNET Encrypted Disk Detector.
• 🔑 Recupera le chiavi di ripristino di BitLocker da tutti i volumi crittografati.
• 💾 Archivia i dati raccolti, i log e le immagini di memoria su un dispositivo USB o su un percorso di rete definito.
• 📈 Monitoraggio progressi in tempo reale durante la raccolta.
• 📄 Report completi con dati volatili pre-collezione e hash di integrità.

I profili di raccolta includono:

• QuickTriage - Volatile + File di Sistema (senza RAM) - completato in ~2 minuti
• Volatile - Solo dati volatili (connessioni di rete, registro, processi in esecuzione)
• RAMOnly - Solo dump della memoria
• RAMPage - RAM + File di paging
• RAMSystem - RAM + File di sistema critici
• Default (Triage completo) - RAM + File di paging + Volatile + Artefatti di sistema

Prerequisiti:

• MAGNET Response
• MAGNET Encrypted Disk Detector

Raccolte di rete:

CyberPipe supporta il salvataggio diretto dell'output su una condivisione di rete utilizzando il parametro -Net. Specifica semplicemente il percorso UNC (ad es., \\server\share) e lo script mapperà automaticamente l'unità di rete ed eseguirà la raccolta. Ideale per flussi di lavoro DFIR automatizzati attivati da avvisi EDR o SOC.

.\CyberPipe.ps1 -Net "\\server\share"

Novità in 5.3:

Correzione critica del codice di uscita PS 5.1

• Risolto: Falsi fallimenti in Windows PowerShell 5.1 dopo una raccolta Magnet Response riuscita
• Causa principale: bug di PS 5.1 in cui $process.ExitCode non veniva popolato in modo affidabile dopo WaitForExit()
• Soluzione: Implementata doppia validazione:
  • Controllo del codice di uscita del processo con aggiornamento dell'oggetto
  • Verifica della raccolta file (indicatore di successo più affidabile)
  • Gestione intelligente degli errori: prosegue se i file vengono raccolti con successo nonostante un codice di uscita diverso da zero

Affidabilità migliorata

• Logica di validazione migliorata che controlla gli artefatti effettivamente raccolti anziché basarsi solo sui codici di uscita
• Gestione elegante delle peculiarità specifiche della versione di PowerShell
• Messaggi di errore migliori che distinguono tra veri fallimenti e problemi di segnalazione di PS 5.1

Esempi di utilizzo:

• Esegui triage completo (profilo di raccolta predefinito) su unità USB locale: (RAM, File di paging, Volatile, File di sistema)

  root@kitploit:~

  .\CyberPipe.ps1 
  

• Esegui acquisizione RAM e file del sistema operativo (triage leggero):

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMSystem
  

• Esegui acquisizione solo memoria:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMOnly
  

• Esegui acquisizione RAM e file di paging:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMPage
  

• Esegui acquisizione RAM e file del sistema operativo (triage leggero):

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMSystem
  

• Esegui acquisizione solo volatili:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile Volatile
  

• Esegui triage rapido (raccolta veloce):

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile QuickTriage
  

• Esegui triage completo con compressione:

Struttura delle directory degli strumenti:

• Raccolte USB: La directory Tools deve essere posizionata accanto allo script:

  root@kitploit:~

  E:\Triage\CyberPipe\CyberPipe.ps1
  E:\Triage\CyberPipe\Tools\
  

• Raccolte di rete: La directory Tools deve essere posizionata nella radice della condivisione di rete:

  root@kitploit:~

  \\Server\share\Tools\
  

Versione precedente (supporto KAPE):

Se in precedenza hai utilizzato CyberPipe con KAPE (prima della v5), il flusso di lavoro precedente rimane disponibile in CyberPipe.v4.01.ps1.

Nota: CyberPipe era precedentemente noto come CSIRT-Collect. Il progetto è stato rinominato a partire dalla versione 4.0.

Per maggiori informazioni visita Baker Street Forensics