Hayabusa-Bulk-Runner

Un wrapper PowerShell che esegue Hayabusa su una cartella di raccolte KAPE, un'esecuzione per host, e aggrega i risultati in un'unica vista di triage cross-host.

Hayabusa accetta già un'intera directory con -d, e il suo riepilogo HTML suddivide i risultati per computer. Una cartella di raccolte KAPE lascia comunque due attività da svolgere manualmente. Ogni ZIP deve essere estratto e ogni immagine disco montata prima che Hayabusa possa leggerla, e un'esecuzione su tutte quante produce un unico output combinato, senza un report o una timeline propri per ciascun host. Questo strumento fa quella parte. Puntalo a una cartella con una voce per host e ottieni, per ogni host, il report HTML degli alert di Hayabusa, una timeline CSV e un log, più una dashboard che mostra quali host sono i peggiori e quali regole sono scattate dove.

Riferimento completo all'uso: docs/USAGE.md

Screenshot

La dashboard dopo un'esecuzione su otto host, con la soglia di severità impostata su medium:

La console durante la stessa esecuzione:

Cosa fa

• Esegue Hayabusa una volta per host, così ogni host ottiene il proprio report HTML, la propria timeline CSV e il proprio log invece di un unico output combinato.
• Estrae ogni ZIP KAPE e monta ogni immagine disco al posto tuo, poi smonta tutto una volta che l'host è terminato.
• Costruisce una dashboard cross-host: totali per severità, le regole che sono scattate e gli host che ciascuna ha colpito, e ogni host classificato dal peggiore al migliore.
• Legge il nome dell'host dal campo Computer di Hayabusa stesso, così output sparsi che KAPE ha nominato come un'unità finiscono comunque sotto l'host corretto.
• Riprende un caso. Esegui di nuovo lo stesso comando e salta gli host già completati e riprende gli altri.
• Tratta le prove come di sola lettura per tutta la durata, e lo dimostra con un hash prima e dopo di ogni immagine.
• Accetta una configurazione di engagement così ogni host di un caso viene eseguito con le stesse impostazioni.

Stato

Pre-release. È stato eseguito su Hayabusa 4.1.0 reale e su immagini e ZIP KAPE su Windows, e la suite di test viene eseguita in CI su Windows PowerShell 5.1, PowerShell 7 su Windows e PowerShell 7 su Linux. Due comportamenti necessitano ancora delle prove giuste per essere confermati, elencati sotto Non ancora confermato su Windows. Controlla quell'elenco prima di affidarti a uno di essi in un report.

Requisiti

• Windows. Questo strumento esegue Hayabusa e monta immagini disco solo su Windows. Il rollup può essere ricostruito ovunque giri PowerShell.
• Windows PowerShell 5.1 o PowerShell 7.
• Hayabusa 4.1.0 con le sue regole. Esegui hayabusa.exe update-rules una volta all'inizio dell'engagement e lascia stare le regole finché non è terminato, così ogni host viene controllato rispetto allo stesso set.
• Una sessione con privilegi elevati se una qualsiasi raccolta è un'immagine disco, inclusa un'immagine disco dentro uno ZIP.

Come ottenerlo

Clona il repository, oppure scaricalo come ZIP da GitHub ed estrailo:

git clone https://github.com/rorywag/Hayabusa-Bulk-Runner.git

Tieni la cartella lib accanto ai due script, dato che caricano tutto da lì. Windows contrassegna i file provenienti da uno ZIP scaricato come provenienti da internet. La policy di esecuzione con ambito Process mostrata sotto li consente già, quindi non c'è nulla da sbloccare.

Avvio rapido

.\Invoke-BulkHayabusa.ps1 -InputRoot D:\Cases\Case01\KAPE -OutputRoot D:\Cases\Case01\Output -HayabusaPath D:\Tools\hayabusa\hayabusa.exe

Stampa una riga per host man mano che procede, poi un breve riepilogo e dove guardare:

[1/4] DC01 ... Completed, 12 detections
[2/4] FS02 ... Completed, 6 detections
WARNING: [3/4] WS03 ... Failed: Hayabusa exited with code 2. See D:\Cases\Case01\Output\WS03\WS03_hayabusa.log. No CSV was written.
[4/4] WS04 ... skipped, already Completed
Done: 3 processed, 2 completed, 0 completed with errors, 1 failed, 1 skipped.
Output is in D:\Cases\Case01\Output. Open triage_dashboard.html there to start triage.

In una nuova finestra di PowerShell lo script potrebbe essere bloccato dalla policy di esecuzione. Questo la consente solo per quella finestra, e non cambia nulla sulla macchina:

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass

.\Invoke-BulkHayabusa.ps1 -Help, o -h, stampa un breve riepilogo d'uso. Per l'elenco completo dei parametri, esempi pratici, il modello di input e output e la configurazione di engagement, vedi docs/USAGE.md.

Integrità delle prove

Le prove vengono solo lette.

• Le immagini disco non vengono mai montate direttamente. Le immagini KAPE sono dirty quando vengono create, quindi un mount di sola lettura non mostra alcun volume. Invece lo strumento monta un disco differencing sotto OutputRoot\_diff con l'immagine delle prove come suo parent. Windows riproduce il journal nel child e il parent viene solo letto, verificato sull'output KAPE con l'hash del parent identico prima e dopo.
• Un'immagine già collegata viene rifiutata, non riutilizzata né smontata, dato che questa esecuzione non l'ha collegata.
• Gli ZIP vengono estratti in una copia di lavoro sotto OutputRoot\_work. Lo ZIP stesso viene solo letto.
• Dopo ogni host, il teardown viene eseguito in un ordine fisso, qualunque cosa sia successa: rimuovi il punto di mount della cartella se ne è stato usato uno, smonta il child, rimuovi la cartella di mount vuota, elimina il child, elimina l'estrazione. Nulla viene mai eliminato ricorsivamente attraverso una cartella che potrebbe essere ancora un punto di mount. Lo strumento elimina solo all'interno delle proprie cartelle _work, _mnt e _diff, più il report e la timeline precedenti di un host stesso appena prima che quell'host venga rieseguito. Se uno smontaggio fallisce, tutto ciò che segue viene lasciato in posizione e l'errore dice cosa è ancora lì.
• OutputRoot viene rifiutato se il suo percorso è dentro InputRoot, così l'output non finisce accanto alle prove.
• Nulla proveniente dalle prove viene mai eseguito. I valori che ne derivano, come i titoli delle regole e i nomi dei computer, vengono codificati ovunque vengano scritti.

Documentazione

docs/USAGE.md copre il resto:

• Ogni parametro della riga di comando, con esempi pratici
• Come vengono lette le voci di InputRoot: cartelle, immagini disco e ZIP
• La gestione degli ZIP, e i limiti di dimensione e di percorso lungo
• L'elenco completo degli output e delle cartelle di lavoro dello strumento
• Riesecuzione, ripresa e cosa significa ogni stato
• La configurazione di engagement e ogni impostazione che accetta
• Eseguire i test

Sicurezza