CyberPipe v5.3

(旧称 CSIRT-Collect)

DFIR 調査のためのメモリおよびディスクフォレンジックを収集する使いやすい PowerShell スクリプト。

機能:

🐏 MAGNET DumpIt（x86、x64、ARM64 対応）またはレガシーシステム向けの MAGNET RAM Capture を使用してメモリイメージをキャプチャします。
💻 選択可能なプロファイルまたはカスタムオプションを使用して、MAGNET Response CLI でトリアージデータを収集します。
🔐 MAGNET Encrypted Disk Detector を使用してフルディスク暗号化を検出します。
🔑 すべての暗号化ボリュームから BitLocker 回復キーを回復します。
💾 収集したデータ、ログ、メモリイメージを USB デバイスまたは指定されたネットワークロケーションに保存します。
📈 収集中のリアルタイム進捗監視。
📄 収集前の揮発性データと整合性ハッシュを含む包括的なレポート。

収集プロファイル:

QuickTriage - 揮発性 + システムファイル（RAM なし）- 約2分で完了
Volatile - 揮発性データのみ（ネットワーク接続、レジストリ、実行中のプロセス）
RAMOnly - メモリダンプのみ
RAMPage - RAM + ページファイル
RAMSystem - RAM + 重要なシステムファイル
Default (Full Triage) - RAM + ページファイル + 揮発性 + システムアーティファクト

前提条件:

MAGNET Response

MAGNET Encrypted Disk Detector

ネットワーク収集:

CyberPipe は -Net パラメータを使用して出力をネットワーク共有に直接保存することをサポートしています。UNC パス（例: \\server\share）を指定するだけで、スクリプトが自動的にネットワークドライブをマッピングし、収集を実行します。これは EDR や SOC アラートによってトリガーされる自動化された DFIR ワークフローに最適です。

.\CyberPipe.ps1 -Net "\\server\share"

5.3 の新機能:

重要な PS 5.1 終了コード修正

修正: Magnet Response の収集成功後に Windows PowerShell 5.1 で誤った失敗が発生する問題
根本原因: PS 5.1 のバグにより WaitForExit() 後に $process.ExitCode が確実に設定されない
解決策: 二重検証を実装:
- プロセス終了コードチェック（オブジェクト更新あり）
- ファイル収集検証（より信頼性の高い成功指標）
- スマートエラーハンドリング: ゼロ以外の終了コードでもファイルが正常に収集されていれば続行

信頼性の向上

拡張された検証ロジックにより、終了コードのみに依存せず、実際に収集されたアーティファクトを確認
PowerShell バージョン固有の癖を適切に処理
エラーメッセージを改善し、真の障害と PS 5.1 の報告問題を区別

使用例:

フルトリアージ（デフォルト収集プロファイル）をローカル USB ドライブに実行: (RAM、ページファイル、揮発性、システムファイル)
```
.\CyberPipe.ps1 
```
RAM & オペレーティングシステムファイル（ライトトリアージ）のキャプチャを実行:
```
.\CyberPipe.ps1 -CollectionProfile RAMSystem
```
メモリのみのキャプチャを実行:
```
.\CyberPipe.ps1 -CollectionProfile RAMOnly
```
RAM & ページファイルのキャプチャを実行:
```
.\CyberPipe.ps1 -CollectionProfile RAMPage
```
RAM & オペレーティングシステムファイル（ライトトリアージ）のキャプチャを実行:
```
.\CyberPipe.ps1 -CollectionProfile RAMSystem
```
揮発性のみのキャプチャを実行:
```
.\CyberPipe.ps1 -CollectionProfile Volatile
```
クイックトリアージ（高速収集）を実行:
```
.\CyberPipe.ps1 -CollectionProfile QuickTriage
```
圧縮付きフルトリアージを実行:
```
.\CyberPipe.ps1 -Compress
```

ツールディレクトリ構成:

USB 収集: Tools ディレクトリはスクリプトと同じ場所に配置する必要があります:
```
E:\Triage\CyberPipe\CyberPipe.ps1
E:\Triage\CyberPipe\Tools\
```
ネットワーク収集: Tools ディレクトリはネットワーク共有のルートに配置する必要があります:
```
\\Server\share\Tools\
```

以前のバージョン（KAPE サポート）:

以前 CyberPipe を KAPE と共に使用していた場合（v5 以前）、古いワークフローは CyberPipe.v4.01.ps1 で引き続き利用できます。

注: CyberPipe は以前 CSIRT-Collect として知られていました。プロジェクトはバージョン 4.0 から改名されました。

詳細については Baker Street Forensics をご覧ください。

CyberPipe

人気