Hayabusa-Bulk-Runner

Um wrapper PowerShell que executa o Hayabusa em uma pasta de coleções KAPE, uma execução por host, e consolida os resultados em uma única visão de triagem entre hosts.

O Hayabusa já aceita um diretório inteiro com -d, e seu resumo HTML detalha os resultados por computador. Uma pasta de coleções KAPE ainda deixa dois trabalhos para fazer manualmente. Cada ZIP precisa ser extraído e cada imagem de disco montada antes que o Hayabusa possa lê-la, e uma execução sobre todas elas gera uma saída combinada, sem relatório ou linha do tempo própria para cada host. Esta ferramenta faz essa parte. Aponte-a para uma pasta com uma entrada por host e você obtém, para cada host, o relatório de alertas HTML do Hayabusa, uma linha do tempo CSV e um log, além de um painel mostrando quais hosts estão piores e quais regras dispararam onde.

Referência completa de uso: docs/USAGE.md

Capturas de tela

O painel após uma execução sobre oito hosts, com o piso de severidade em médio:

O console durante a mesma execução:

O que ela faz

• Executa o Hayabusa uma vez por host, para que cada host tenha seu próprio relatório HTML, linha do tempo CSV e log em vez de uma saída combinada.
• Extrai cada ZIP KAPE e monta cada imagem de disco para você, depois desfaz tudo novamente quando o host termina.
• Constrói um painel entre hosts: totais por severidade, as regras que dispararam e os hosts que cada uma atingiu, e cada host classificado do pior primeiro.
• Lê o nome do host a partir do próprio campo Computer do Hayabusa, para que saídas soltas que o KAPE nomeou com base em uma unidade ainda caiam sob o host correto.
• Retoma um caso. Execute o mesmo comando novamente e ele pula os hosts já concluídos e continua com o restante.
• Trata a evidência como somente leitura durante todo o processo, e comprova isso com um hash antes e depois de cada imagem.
• Aceita uma configuração de engajamento para que cada host em um caso seja executado com as mesmas configurações.

Status

Pré-lançamento. Foi executado contra imagens e ZIPs reais do Hayabusa 4.1.0 e KAPE no Windows, e a suíte de testes roda em CI no Windows PowerShell 5.1, PowerShell 7 no Windows e PowerShell 7 no Linux. Dois comportamentos ainda precisam da evidência correta para serem confirmados, listados em Ainda não confirmado no Windows. Verifique essa lista antes de confiar em um deles em um relatório.

Requisitos

• Windows. Esta ferramenta executa o Hayabusa e monta imagens de disco apenas no Windows. A consolidação pode ser reconstruída em qualquer lugar onde o PowerShell rode.
• Windows PowerShell 5.1 ou PowerShell 7.
• Hayabusa 4.1.0 com suas regras. Execute hayabusa.exe update-rules uma vez no início do engajamento e deixe as regras em paz até que ele termine, para que cada host seja verificado contra o mesmo conjunto.
• Uma sessão elevada se qualquer coleção for uma imagem de disco, incluindo uma imagem de disco dentro de um ZIP.

Obtendo

Clone o repositório, ou baixe-o como ZIP do GitHub e extraia-o:

git clone https://github.com/rorywag/Hayabusa-Bulk-Runner.git

Mantenha a pasta lib ao lado dos dois scripts, já que eles carregam tudo a partir dela. O Windows marca arquivos de um ZIP baixado como vindos da internet. A política de execução de escopo de Processo mostrada abaixo já os permite, então não há nada para desbloquear.

Início rápido

.\Invoke-BulkHayabusa.ps1 -InputRoot D:\Cases\Case01\KAPE -OutputRoot D:\Cases\Case01\Output -HayabusaPath D:\Tools\hayabusa\hayabusa.exe

Ele imprime uma linha por host conforme avança, depois um breve resumo e onde procurar:

[1/4] DC01 ... Completed, 12 detections
[2/4] FS02 ... Completed, 6 detections
WARNING: [3/4] WS03 ... Failed: Hayabusa exited with code 2. See D:\Cases\Case01\Output\WS03\WS03_hayabusa.log. No CSV was written.
[4/4] WS04 ... skipped, already Completed
Done: 3 processed, 2 completed, 0 completed with errors, 1 failed, 1 skipped.
Output is in D:\Cases\Case01\Output. Open triage_dashboard.html there to start triage.

Em uma janela nova do PowerShell, o script pode ser bloqueado pela política de execução. Isto o permite apenas para essa janela, e não altera nada na máquina:

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass

.\Invoke-BulkHayabusa.ps1 -Help, ou -h, imprime um breve resumo de uso. Para a lista completa de parâmetros, exemplos práticos, o modelo de entrada e saída e a configuração de engajamento, veja docs/USAGE.md.

Integridade da evidência

A evidência é apenas lida.

• Imagens de disco nunca são montadas diretamente. Imagens KAPE estão sujas quando são criadas, então uma montagem somente leitura não mostra volume algum. Em vez disso, a ferramenta monta um disco diferencial sob OutputRoot\_diff com a imagem de evidência como seu pai. O Windows reproduz o journal no filho e o pai é apenas lido, verificado na saída do KAPE com o hash do pai igual antes e depois.
• Uma imagem que já está anexada é recusada, não reutilizada ou desmontada, já que esta execução não a anexou.
• ZIPs são extraídos para uma cópia de trabalho sob OutputRoot\_work. O ZIP em si é apenas lido.
• Após cada host, a desmontagem roda em uma ordem fixa, aconteça o que acontecer: remover o ponto de montagem da pasta se um foi usado, desmontar o filho, remover a pasta de montagem vazia, excluir o filho, excluir a extração. Nada é jamais excluído recursivamente através de uma pasta que ainda possa ser um ponto de montagem. A ferramenta só exclui dentro de suas próprias pastas _work, _mnt e _diff, além do relatório e da linha do tempo anteriores de um host pouco antes de esse host ser reexecutado. Se uma desmontagem falhar, tudo depois dela é deixado no lugar e o erro diz o que ainda está lá.
• OutputRoot é recusado se seu caminho estiver dentro de InputRoot, para que a saída não caia ao lado da evidência.
• Nada da evidência é jamais executado. Valores dela, como títulos de regras e nomes de computadores, são codificados onde quer que sejam gravados.

Documentação

docs/USAGE.md cobre o resto:

• Cada parâmetro de linha de comando, com exemplos práticos
• Como as entradas de InputRoot são lidas: pastas, imagens de disco e ZIPs
• Tratamento de ZIP, e os limites de tamanho e de caminho longo
• A lista completa de saídas e as pastas de trabalho da ferramenta
• Reexecução, retomada e o que cada status significa
• A configuração de engajamento e cada ajuste que ela aceita
• Executando os testes

Segurança

Veja SECURITY.md para saber como relatar uma vulnerabilidade de forma privada.

Licença

MIT. Veja LICENSE.