CyberPipe v5.3

(이전 명칭 CSIRT-Collect)

DFIR 조사에서 메모리 및 디스크 포렌식을 수집하기 위한 사용하기 쉬운 PowerShell 스크립트입니다.

기능:

🐏 MAGNET DumpIt(x86, x64 및 ARM64 지원) 또는 레거시 시스템용 MAGNET RAM Capture로 메모리 이미지 캡처
💻 MAGNET Response CLI를 사용하여 선택 가능한 프로필 또는 사용자 지정 옵션으로 트라이지 데이터 수집
🔐 MAGNET Encrypted Disk Detector를 사용하여 전체 디스크 암호화 감지
🔑 암호화된 모든 볼륨에서 BitLocker 복구 키 복구
💾 수집된 데이터, 로그 및 메모리 이미지를 USB 장치 또는 정의된 네트워크 위치에 저장
📈 수집 중 실시간 진행률 모니터링
📄 수집 전 휘발성 데이터 및 무결성 해시를 포함한 포괄적인 보고

수집 프로필에는 다음이 포함됩니다:

QuickTriage - 휘발성 + 시스템 파일(RAM 제외) - 약 2분 완료
Volatile - 휘발성 데이터만(네트워크 연결, 레지스트리, 실행 중인 프로세스)
RAMOnly - 메모리 덤프만
RAMPage - RAM + 페이지 파일
RAMSystem - RAM + 중요 시스템 파일
Default (Full Triage) - RAM + 페이지 파일 + 휘발성 + 시스템 아티팩트

전제 조건:

MAGNET Response

MAGNET Encrypted Disk Detector

네트워크 수집:

CyberPipe는 -Net 매개변수를 사용하여 출력을 네트워크 공유에 직접 저장하는 것을 지원합니다. UNC 경로(예: \\server\share)를 지정하기만 하면 스크립트가 자동으로 네트워크 드라이브를 매핑하고 수집을 수행합니다. 이는 EDR 또는 SOC 알림에 의해 트리거된 자동화된 DFIR 워크플로우에 이상적입니다.

.\CyberPipe.ps1 -Net "\\server\share"

5.3의 새로운 기능:

중대한 PS 5.1 종료 코드 수정

수정됨: Windows PowerShell 5.1에서 Magnet Response 수집 성공 후 잘못된 실패 보고
근본 원인: WaitForExit() 이후 $process.ExitCode가 안정적으로 채워지지 않는 PS 5.1 버그
해결책: 이중 검증 구현:
- 객체 새로 고침을 통한 프로세스 종료 코드 확인
- 파일 수집 확인(더 신뢰할 수 있는 성공 표시기)
- 스마트 오류 처리: 0이 아닌 종료 코드에도 불구하고 파일이 성공적으로 수집된 경우 계속 진행

향상된 안정성

향상된 검증 로직이 종료 코드에만 의존하지 않고 실제 수집된 아티팩트를 확인
PowerShell 버전별 특성에 대한 우아한 처리
더 나은 오류 메시지가 실제 실패와 PS 5.1 보고 문제를 구분

사용 예:

로컬 USB 드라이브로 전체 트라이지(기본 수집 프로필) 실행: (RAM, 페이지 파일, 휘발성, 시스템 파일)
```
.\CyberPipe.ps1 
```
RAM 및 운영 체제 파일(경량 트라이지) 캡처 실행:
```
.\CyberPipe.ps1 -CollectionProfile RAMSystem
```
메모리 전용 캡처 실행:
```
.\CyberPipe.ps1 -CollectionProfile RAMOnly
```
RAM 및 페이지 파일 캡처 실행:
```
.\CyberPipe.ps1 -CollectionProfile RAMPage
```
RAM 및 운영 체제 파일(경량 트라이지) 캡처 실행:
```
.\CyberPipe.ps1 -CollectionProfile RAMSystem
```
휘발성 전용 캡처 실행:
```
.\CyberPipe.ps1 -CollectionProfile Volatile
```
빠른 트라이지(신속 수집) 실행:
```
.\CyberPipe.ps1 -CollectionProfile QuickTriage
```
압축과 함께 전체 트라이지 실행:
```
.\CyberPipe.ps1 -Compress
```

도구 디렉터리 구조:

USB 수집: Tools 디렉터리는 스크립트와 같은 위치에 있어야 합니다:
```
E:\Triage\CyberPipe\CyberPipe.ps1
E:\Triage\CyberPipe\Tools\
```
네트워크 수집: Tools 디렉터리는 네트워크 공유의 루트에 배치해야 합니다:
```
\\Server\share\Tools\
```

이전 버전(KAPE 지원):

이전에 CyberPipe를 KAPE와 함께 사용한 경우(v5 이전), 이전 워크플로우는 CyberPipe.v4.01.ps1에서 계속 사용할 수 있습니다.

참고: CyberPipe는 이전에 CSIRT-Collect로 알려졌습니다. 프로젝트는 버전 4.0부터 이름이 변경되었습니다.

자세한 내용은 Baker Street Forensics를 방문하세요.

CyberPipe

인기