Hayabusa ကို Run ခြင်း

သတိ - Anti-Virus/EDR သတိပေးချက်များနှင့် နှေးကွေးသော Runtime များ

hayabusa ကို run ရန်ကြိုးစားသည့်အခါ သို့မဟုတ် .yml rule များကို download လုပ်ရုံမျှဖြင့်ပင် anti-virus သို့မဟုတ် EDR ထုတ်ကုန်များမှ သတိပေးချက်တစ်ခု ရရှိနိုင်ပါသည်။ အကြောင်းမှာ detection signature တွင် mimikatz နှင့် သံသယဖြစ်ဖွယ် PowerShell command များကဲ့သို့သော keyword များ ပါဝင်နေသောကြောင့်ဖြစ်ပါသည်။ ဤအရာများသည် false positive များဖြစ်သောကြောင့် hayabusa ကို run နိုင်ရန် သင်၏ security ထုတ်ကုန်များတွင် exclusion များကို configure လုပ်ရန် လိုအပ်ပါသည်။ malware သို့မဟုတ် supply chain တိုက်ခိုက်မှုများအတွက် စိုးရိမ်ပါက ကျေးဇူးပြု၍ hayabusa source code ကို စစ်ဆေးပြီး binary များကို သင်ကိုယ်တိုင် compile လုပ်ပါ။

အထူးသဖြင့် reboot ပြုလုပ်ပြီးနောက် ပထမဆုံးအကြိမ် run သည့်အခါ Windows Defender ၏ real-time protection ကြောင့် runtime နှေးကွေးမှုကို သင်တွေ့ကြုံရနိုင်ပါသည်။ real-time protection ကို ယာယီပိတ်ထားခြင်း သို့မဟုတ် hayabusa runtime directory သို့ exclusion တစ်ခု ထည့်သွင်းခြင်းဖြင့် ဤအရာကို သင်ရှောင်ရှားနိုင်ပါသည်။ (ဤအရာများ မပြုလုပ်မီ security ဆိုင်ရာ အန္တရာယ်များကို ကျေးဇူးပြု၍ ထည့်သွင်းစဉ်းစားပါ။)

Windows

Command/PowerShell Prompt သို့မဟုတ် Windows Terminal တွင် သင့်လျော်သော 32-bit သို့မဟုတ် 64-bit Windows binary ကို run လိုက်ရုံသာဖြစ်သည်။

path တွင် space ပါသော file သို့မဟုတ် directory ကို scan လုပ်ရန် ကြိုးစားသည့်အခါ ဖြစ်ပေါ်သော Error

Windows ၏ built-in Command သို့မဟုတ် PowerShell prompt ကို အသုံးပြုသည့်အခါ သင်၏ file သို့မဟုတ် directory path တွင် space ပါဝင်ပါက Hayabusa သည် .evtx file များကို load မလုပ်နိုင်ကြောင်း error တစ်ခု သင်ရရှိနိုင်ပါသည်။ .evtx file များကို မှန်ကန်စွာ load လုပ်နိုင်ရန် အောက်ပါတို့ကို ပြုလုပ်ရန် သေချာပါစေ-

1. file သို့မဟုတ် directory path ကို double quote ဖြင့် ဝိုက်ထားပါ။
2. directory path ဖြစ်ပါက နောက်ဆုံးစာလုံးအဖြစ် backslash ကို ထည့်သွင်းမထားရန် သေချာပါစေ။

စာလုံးများ မှန်ကန်စွာ မပြသခြင်း

Windows ပေါ်ရှိ default font Lucida Console ဖြင့် logo နှင့် table များတွင် အသုံးပြုထားသော အမျိုးမျိုးသော စာလုံးများ မှန်ကန်စွာ ပြသမည်မဟုတ်ပါ။ ဤအရာကို ဖြေရှင်းရန် font ကို Consalas သို့ ပြောင်းသင့်ပါသည်။

ဤအရာသည် closing message များတွင် Japanese စာလုံးများ ပြသခြင်းမှလွဲ၍ စာသား rendering အများစုကို ဖြေရှင်းပေးပါမည်-

ဤအရာကို ဖြေရှင်းရန် သင့်တွင် ရွေးချယ်စရာ လေးခု ရှိပါသည်-

1. Command သို့မဟုတ် PowerShell prompt အစား Windows Terminal ကို အသုံးပြုပါ။ (အကြံပြုထားသည်)
2. MS Gothic font ကို အသုံးပြုပါ။ backslash များသည် Yen သင်္ကေတများအဖြစ် ပြောင်းသွားမည်ကို သတိပြုပါ။
3. HackGen font များကို install လုပ်ပြီး HackGen Console NF ကို အသုံးပြုပါ။
4. Japanese ပါဝင်သော closing message များကို မပြသရန် -q, --quiet ကို အသုံးပြုပါ။

Linux

ဦးစွာ binary ကို executable ဖြစ်အောင် ပြုလုပ်ရန် လိုအပ်ပါသည်။

chmod +x ./hayabusa

ထို့နောက် Hayabusa root directory မှ ၎င်းကို run ပါ-

./hayabusa

macOS

Terminal သို့မဟုတ် iTerm2 မှ ဦးစွာ binary ကို executable ဖြစ်အောင် ပြုလုပ်ရန် လိုအပ်ပါသည်။

chmod +x ./hayabusa

ထို့နောက် Hayabusa root directory မှ ၎င်းကို run ရန် ကြိုးစားပါ-

./hayabusa

macOS ၏ နောက်ဆုံးထွက် version တွင် ၎င်းကို run ရန် ကြိုးစားသည့်အခါ အောက်ပါ security error ကို သင်ရရှိနိုင်ပါသည်-

"Cancel" ကို နှိပ်ပြီး System Preferences မှ "Security & Privacy" ကို ဖွင့်ကာ General tab မှ "Allow Anyway" ကို နှိပ်ပါ။

ထို့နောက် ၎င်းကို ထပ်မံ run ရန် ကြိုးစားပါ။

./hayabusa

အောက်ပါ သတိပေးချက် ပေါ်လာမည်ဖြစ်သောကြောင့် ကျေးဇူးပြု၍ "Open" ကို နှိပ်ပါ။

ယခု သင် hayabusa ကို run နိုင်ပြီဖြစ်ပါသည်။

VHDX ထည့်သွင်းခြင်း

Event log စစ်ဆေးသည့် command အားလုံးတွင် --vhdx ကို -f <IMAGE.vhdx> သို့မဟုတ် -d <DIR> နှင့် တွဲသုံးနိုင်သည်။ Image ရှာဖွေမှုသည် သတ်မှတ် directory နှင့် အောက်သုံးဆင့်အထိဖြစ်သည်။ Image အတွင်းရှိ ဖတ်နိုင်သော NTFS volume အားလုံးကို ထိုအဆင့်ကန့်သတ်ချက်မရှိဘဲ ရှာဖွေသည်။

./hayabusa dfir-timeline --vhdx -f host.vhdx -w -U -p verbose -o timeline.csv
./hayabusa dfir-timeline --vhdx -d images/ -w -U -p verbose -o timeline.csv

Juntei နှင့်မျှဝေထားသော portable NTFS API ဖြင့် Linux၊ macOS နှင့် Windows တွင် native scan လုပ်နိုင်သည်။ ဖိုင်များကို read-only seekable stream အဖြစ် တိုက်ရိုက်ဖတ်သဖြင့် FUSE၊ mount driver၊ administrator အခွင့်အရေးနှင့် ယာယီထုတ်ယူခြင်း မလိုအပ်ပါ။ မူရင်း image ကို မပြောင်းလဲပါ။ အထောက်အထားလမ်းကြောင်းမှာ host.vhdx!/path/log.evtx ဖြစ်သည်။ BitLocker နှင့် ပြင်ပ parent image လိုအပ်သော image များကို မပံ့ပိုးပါ။

English: VHDX input details and limitations.

E01/Ex01

--e01 သည် Linux၊ macOS နှင့် Windows တွင် physical EWF1 (.E01) နှင့် EWF2 (.Ex01) image များကို FUSE၊ administrator ခွင့် သို့မဟုတ် ယာယီဖြည်ထုတ်ခြင်းမလိုဘဲ တိုက်ရိုက် scan လုပ်သည်။ ပထမ segment ကို သတ်မှတ်ပြီး ကျန် segment များကို မူရင်းအမည်ဖြင့် directory တစ်ခုတည်းတွင် ထားပါ။ -d သည် subdirectory သုံးဆင့်အထိ ရှာပြီး --vhdx --e01 သည် ရောနှောထားသော directory ကို လက်ခံသည်။ NTFS partition ပါသည့် disk နှင့် NTFS volume တစ်ခုတည်းကို ပံ့ပိုးသည်။ ပျက်စီးမှုကို ဖော်ပြပြီး ဖတ်ရသောရလဒ်များကို သိမ်းကာ nonzero code ဖြင့် ထွက်သည်။ Media တစ်ခုလုံး၏ integrity verification မဟုတ်ပါ။ Logical .L01/.Lx01၊ password လိုသော EWF နှင့် BitLocker ကို မပံ့ပိုးပါ။

./hayabusa dfir-timeline --e01 -f disk.E01 -w -U -p verbose -o timeline.csv
./hayabusa log-metrics --e01 -d images/ -U -o logs.csv
./hayabusa dfir-timeline --vhdx --e01 -d images/ -w -U -o timeline.csv

English: E01/Ex01 details.