Hayabusa ausführen¶

Achtung: Warnungen von Antivirus/EDR und langsame Laufzeiten¶

Möglicherweise erhalten Sie eine Warnung von Antivirus- oder EDR-Produkten, wenn Sie versuchen, Hayabusa auszuführen, oder sogar nur beim Herunterladen der .yml-Regeln, da in den Erkennungssignaturen Schlüsselwörter wie mimikatz und verdächtige PowerShell-Befehle enthalten sind. Hierbei handelt es sich um Fehlalarme, daher müssen Sie in Ihren Sicherheitsprodukten Ausnahmen konfigurieren, damit Hayabusa ausgeführt werden kann. Falls Sie sich über Malware oder Lieferkettenangriffe Sorgen machen, überprüfen Sie bitte den Hayabusa-Quellcode und kompilieren Sie die Binärdateien selbst.

Insbesondere beim ersten Start nach einem Neustart kann es aufgrund des Echtzeitschutzes von Windows Defender zu einer langsamen Laufzeit kommen. Sie können dies vermeiden, indem Sie den Echtzeitschutz vorübergehend deaktivieren oder eine Ausnahme für das Hayabusa-Laufzeitverzeichnis hinzufügen. (Bitte berücksichtigen Sie die Sicherheitsrisiken, bevor Sie dies tun.)

Windows¶

Führen Sie in einer Eingabeaufforderung/PowerShell-Eingabeaufforderung oder im Windows Terminal einfach die passende 32-Bit- oder 64-Bit-Windows-Binärdatei aus.

Fehler beim Versuch, eine Datei oder ein Verzeichnis mit einem Leerzeichen im Pfad zu scannen¶

Wenn Sie die integrierte Eingabeaufforderung oder PowerShell-Eingabeaufforderung in Windows verwenden, erhalten Sie möglicherweise einen Fehler, dass Hayabusa keine .evtx-Dateien laden konnte, falls Ihr Datei- oder Verzeichnispfad ein Leerzeichen enthält. Um die .evtx-Dateien ordnungsgemäß zu laden, stellen Sie Folgendes sicher:

Schließen Sie den Datei- oder Verzeichnispfad in doppelte Anführungszeichen ein.
Wenn es sich um einen Verzeichnispfad handelt, achten Sie darauf, dass Sie keinen Backslash als letztes Zeichen einfügen.

Zeichen werden nicht korrekt angezeigt¶

Mit der Standardschriftart Lucida Console unter Windows werden verschiedene Zeichen, die im Logo und in den Tabellen verwendet werden, nicht korrekt angezeigt. Sie sollten die Schriftart auf Consalas ändern, um dies zu beheben.

Dadurch wird die meiste Textdarstellung korrigiert, mit Ausnahme der Anzeige japanischer Zeichen in den Abschlussmeldungen:

Sie haben vier Möglichkeiten, dies zu beheben:

Verwenden Sie Windows Terminal anstelle der Eingabeaufforderung oder PowerShell-Eingabeaufforderung. (Empfohlen)
Verwenden Sie die Schriftart MS Gothic. Beachten Sie, dass Backslashes zu Yen-Symbolen werden.
Installieren Sie die HackGen-Schriftarten und verwenden Sie HackGen Console NF.
Verwenden Sie -q, --quiet, um die Abschlussmeldungen, die Japanisch enthalten, nicht anzuzeigen.

Linux¶

Sie müssen die Binärdatei zunächst ausführbar machen.

chmod +x ./hayabusa

Führen Sie sie dann aus dem Hayabusa-Stammverzeichnis aus:

./hayabusa

macOS¶

Im Terminal oder iTerm2 müssen Sie die Binärdatei zunächst ausführbar machen.

chmod +x ./hayabusa

Versuchen Sie dann, sie aus dem Hayabusa-Stammverzeichnis auszuführen:

./hayabusa

Auf der neuesten Version von macOS erhalten Sie möglicherweise den folgenden Sicherheitsfehler, wenn Sie versuchen, sie auszuführen:

Klicken Sie auf "Abbrechen" und öffnen Sie dann in den Systemeinstellungen "Sicherheit & Datenschutz" und klicken Sie auf der Registerkarte "Allgemein" auf "Dennoch erlauben".

Versuchen Sie danach erneut, sie auszuführen.

./hayabusa

Die folgende Warnung wird angezeigt, klicken Sie also bitte auf "Öffnen".

Sie sollten nun in der Lage sein, Hayabusa auszuführen.

VHDX-Eingaben¶

Alle Befehle zur Ereignislog-Analyse unterstützen --vhdx zusammen mit -f <IMAGE.vhdx> oder -d <DIR>. Die Bildsuche erfasst das angegebene Verzeichnis und drei Unterverzeichnisebenen. Innerhalb der Bilder werden alle lesbaren NTFS-Volumes ohne diese Tiefenbegrenzung durchsucht.

./hayabusa dfir-timeline --vhdx -f host.vhdx -w -U -p verbose -o timeline.csv
./hayabusa dfir-timeline --vhdx -d images/ -w -U -p verbose -o timeline.csv

Native Scans funktionieren unter Linux, macOS und Windows mit der portablen NTFS-Schnittstelle, die auch Juntei verwendet. Dateien werden direkt als schreibgeschützte, positionierbare Streams gelesen. FUSE, Mount-Treiber, Hilfsprogramme, Administratorrechte und temporäres Extrahieren sind nicht erforderlich. Die Quellbilder bleiben unverändert. Beweispfade verwenden host.vhdx!/path/log.evtx. BitLocker und Bilder mit extern benötigtem Elternbild werden nicht unterstützt.

English: VHDX input details and limitations.

E01/Ex01¶

Mit --e01 werden physische EWF1- (.E01) und EWF2-Abbilder (.Ex01) unter Linux, macOS und Windows direkt gelesen, ohne FUSE, Administratorrechte oder temporäre Extraktion. Geben Sie das erste Segment an; weitere Segmente müssen mit ihren Originalnamen im selben Verzeichnis liegen. -d durchsucht drei Unterverzeichnisebenen; --vhdx --e01 unterstützt gemischte Verzeichnisse. Datenträger mit NTFS-Partitionen und einzelne NTFS-Volumes werden unterstützt. Schäden werden gemeldet; lesbare Ergebnisse bleiben erhalten und der Exitstatus ist ungleich null. Dies ist keine vollständige Integritätsprüfung des Mediums. Logische .L01/.Lx01, passwortgeschützte EWF-Abbilder und BitLocker werden nicht unterstützt.

./hayabusa dfir-timeline --e01 -f disk.E01 -w -U -p verbose -o timeline.csv
./hayabusa log-metrics --e01 -d images/ -U -o logs.csv
./hayabusa dfir-timeline --vhdx --e01 -d images/ -w -U -o timeline.csv

English: E01/Ex01 details.