Hayabusa-Bulk-Runner

KAPE 컬렉션 폴더 전체에 걸쳐 Hayabusa를 호스트당 한 번씩 실행하고, 그 결과를 하나의 크로스 호스트 트리아지 뷰로 집계해 주는 PowerShell 래퍼입니다.

Hayabusa는 이미 -d로 디렉터리 전체를 받을 수 있고, HTML 요약은 컴퓨터별로 결과를 분류해 줍니다. 그래도 KAPE 컬렉션 폴더가 있으면 두 가지 작업은 손으로 해야 합니다. Hayabusa가 읽으려면 각 ZIP을 풀고 각 디스크 이미지를 마운트해야 하며, 전체를 한 번에 실행하면 호스트별 보고서나 타임라인 없이 하나로 합쳐진 출력만 나옵니다. 이 도구가 바로 그 부분을 처리합니다. 호스트당 항목이 하나씩 들어 있는 폴더를 지정하면, 각 호스트에 대해 Hayabusa의 HTML 경고 보고서, CSV 타임라인, 로그를 얻고, 어떤 호스트가 가장 심각한지와 어떤 규칙이 어디서 발동했는지를 보여주는 대시보드도 얻습니다.

전체 사용법 참고: docs/USAGE.md

스크린샷

8개 호스트에 대해 실행한 뒤의 대시보드, 심각도 하한은 medium:

같은 실행 중의 콘솔:

하는 일

• 호스트당 Hayabusa를 한 번씩 실행하므로, 하나로 합쳐진 출력 대신 각 호스트가 자체 HTML 보고서, CSV 타임라인, 로그를 갖습니다.
• 각 KAPE ZIP을 풀고 각 디스크 이미지를 대신 마운트한 뒤, 호스트가 끝나면 다시 모두 정리합니다.
• 크로스 호스트 대시보드를 만듭니다: 심각도별 합계, 발동한 규칙과 각 규칙이 적중한 호스트, 그리고 심각한 순서대로 정렬된 모든 호스트.
• 호스트 이름을 Hayabusa 자체의 Computer 필드에서 읽으므로, KAPE가 드라이브 이름을 따서 명명한 느슨한 출력도 올바른 호스트 아래에 들어갑니다.
• 케이스를 재개합니다. 같은 명령을 다시 실행하면 이미 끝난 호스트는 건너뛰고 나머지를 이어서 처리합니다.
• 증거를 처음부터 끝까지 읽기 전용으로 취급하고, 각 이미지의 전후 해시로 이를 증명합니다.
• 인게이지먼트 설정을 받아 케이스의 모든 호스트가 동일한 설정으로 실행되게 합니다.

상태

사전 릴리스. Windows에서 실제 Hayabusa 4.1.0과 KAPE 이미지 및 ZIP에 대해 실행해 보았고, 테스트 스위트는 CI에서 Windows PowerShell 5.1, Windows의 PowerShell 7, Linux의 PowerShell 7로 실행됩니다. 두 가지 동작은 확인하려면 적절한 증거가 아직 필요하며, Windows에서 아직 확인되지 않음에 나열되어 있습니다. 보고서에서 그중 하나에 의존하기 전에 그 목록을 확인하세요.

요구 사항

• Windows. 이 도구는 Windows에서만 Hayabusa를 실행하고 디스크 이미지를 마운트합니다. 롤업은 PowerShell이 실행되는 어디서든 다시 만들 수 있습니다.
• Windows PowerShell 5.1 또는 PowerShell 7.
• 규칙이 포함된 Hayabusa 4.1.0. 인게이지먼트 시작 시 hayabusa.exe update-rules를 한 번 실행하고 끝날 때까지 규칙을 그대로 두어, 모든 호스트가 동일한 규칙 세트로 검사되게 하세요.
• 컬렉션 중 하나라도 디스크 이미지라면, ZIP 안의 디스크 이미지를 포함해, 관리자 권한 세션이 필요합니다.

받기

저장소를 클론하거나, GitHub에서 ZIP으로 내려받아 압축을 풉니다:

git clone https://github.com/rorywag/Hayabusa-Bulk-Runner.git

두 스크립트가 lib 폴더에서 모든 것을 로드하므로 lib 폴더를 두 스크립트 옆에 두세요. Windows는 내려받은 ZIP의 파일을 인터넷에서 온 것으로 표시합니다. 아래에 나온 Process 범위 실행 정책은 이미 이를 허용하므로 차단을 해제할 필요가 없습니다.

빠른 시작

.\Invoke-BulkHayabusa.ps1 -InputRoot D:\Cases\Case01\KAPE -OutputRoot D:\Cases\Case01\Output -HayabusaPath D:\Tools\hayabusa\hayabusa.exe

진행하면서 호스트당 한 줄을 출력하고, 그다음 짧은 요약과 어디를 봐야 하는지 알려줍니다:

[1/4] DC01 ... Completed, 12 detections
[2/4] FS02 ... Completed, 6 detections
WARNING: [3/4] WS03 ... Failed: Hayabusa exited with code 2. See D:\Cases\Case01\Output\WS03\WS03_hayabusa.log. No CSV was written.
[4/4] WS04 ... skipped, already Completed
Done: 3 processed, 2 completed, 0 completed with errors, 1 failed, 1 skipped.
Output is in D:\Cases\Case01\Output. Open triage_dashboard.html there to start triage.

새 PowerShell 창에서는 실행 정책 때문에 스크립트가 차단될 수 있습니다. 다음은 해당 창에서만 허용하며 머신에는 아무것도 바꾸지 않습니다:

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass

.\Invoke-BulkHayabusa.ps1 -Help 또는 -h는 짧은 사용법 요약을 출력합니다. 전체 매개변수 목록, 예제, 입력 및 출력 모델, 인게이지먼트 설정은 docs/USAGE.md를 참고하세요.

증거 무결성

증거는 오직 읽기만 됩니다.

• 디스크 이미지는 절대 직접 마운트되지 않습니다. KAPE 이미지는 생성될 때 dirty 상태이므로, 읽기 전용 마운트는 볼륨을 전혀 보여주지 않습니다. 대신 도구는 증거 이미지를 부모로 하는 차이점 보관 디스크를 OutputRoot\_diff 아래에 마운트합니다. Windows는 저널을 자식에 재생하고 부모는 읽기만 하며, KAPE 출력에서 부모의 해시가 전후 동일한 것으로 확인되었습니다.
• 이미 연결된 이미지는 이 실행이 연결한 것이 아니므로 재사용하거나 분리하지 않고 거부합니다.
• ZIP은 OutputRoot\_work 아래의 작업 복사본으로 풀립니다. ZIP 자체는 읽기만 됩니다.
• 각 호스트 후에는 무슨 일이 있었든 고정된 순서로 정리가 실행됩니다: 폴더 마운트 지점이 사용되었다면 제거, 자식 분리, 빈 마운트 폴더 제거, 자식 삭제, 추출물 삭제. 아직 마운트 지점일 수 있는 폴더를 통해 재귀적으로 삭제되는 일은 결코 없습니다. 도구는 자체 _work, _mnt, _diff 폴더 안에서만 삭제하며, 호스트를 다시 실행하기 직전에 그 호스트 자체의 이전 보고서와 타임라인도 삭제합니다. 분리에 실패하면 그 이후의 모든 것은 그대로 두고, 오류가 무엇이 남아 있는지 알려줍니다.
• OutputRoot의 경로가 InputRoot 안에 있으면 거부하므로, 출력이 증거 옆에 떨어지지 않습니다.
• 증거에서 나온 것은 아무것도 실행되지 않습니다. 규칙 제목과 컴퓨터 이름 같은 증거의 값은 기록되는 모든 곳에서 인코딩됩니다.

문서

docs/USAGE.md가 나머지를 다룹니다:

• 모든 명령줄 매개변수와 예제
• InputRoot 항목을 읽는 방법: 폴더, 디스크 이미지, ZIP
• ZIP 처리, 그리고 크기 및 긴 경로 제한
• 전체 출력 목록과 도구의 작업 폴더
• 재실행, 재개, 그리고 각 상태의 의미
• 인게이지먼트 설정과 그것이 받는 모든 설정
• 테스트 실행

보안

취약점을 비공개로 보고하는 방법은 SECURITY.md를 참고하세요.

라이선스

MIT. LICENSE를 참고하세요.

이 도구는 독립적이며 Yamato Security와 제휴하거나 보증받지 않았습니다. Hayabusa를 별도의 외부 프로그램으로 실행하며 그 코드를 일절 포함하지 않습니다. Hayabusa는 Yamato Security가 GNU AGPL-3.0으로, 그 탐지 규칙은 각자의 라이선스로 배포합니다. Hayabusa와 그 규칙은 Yamato Security에서 내려받으세요.