การรัน Hayabusa

ข้อควรระวัง: คำเตือนจาก Anti-Virus/EDR และการทำงานที่ช้า

คุณอาจได้รับการแจ้งเตือนจากผลิตภัณฑ์ anti-virus หรือ EDR เมื่อพยายามรัน hayabusa หรือแม้แต่ตอนที่ดาวน์โหลดกฎ .yml เนื่องจากจะมีคีย์เวิร์ดอย่าง mimikatz และคำสั่ง PowerShell ที่น่าสงสัยอยู่ในซิกเนเจอร์การตรวจจับ สิ่งเหล่านี้เป็นผลบวกลวง (false positives) ดังนั้นคุณจะต้องตั้งค่าข้อยกเว้น (exclusions) ในผลิตภัณฑ์ความปลอดภัยของคุณเพื่อให้ hayabusa สามารถรันได้ หากคุณกังวลเกี่ยวกับมัลแวร์หรือการโจมตีแบบ supply chain โปรดตรวจสอบซอร์สโค้ดของ hayabusa และคอมไพล์ไบนารีด้วยตัวคุณเอง

คุณอาจพบว่าการทำงานช้าโดยเฉพาะในการรันครั้งแรกหลังจากรีบูต เนื่องจากการป้องกันแบบเรียลไทม์ของ Windows Defender คุณสามารถหลีกเลี่ยงปัญหานี้ได้โดยปิดการป้องกันแบบเรียลไทม์ชั่วคราว หรือเพิ่มข้อยกเว้นให้กับไดเรกทอรีที่ใช้รัน hayabusa (โปรดพิจารณาความเสี่ยงด้านความปลอดภัยก่อนที่จะดำเนินการเหล่านี้)

Windows

ใน Command/PowerShell Prompt หรือ Windows Terminal เพียงรันไบนารี Windows แบบ 32-bit หรือ 64-bit ที่เหมาะสม

ข้อผิดพลาดเมื่อพยายามสแกนไฟล์หรือไดเรกทอรีที่มีช่องว่างในพาธ

เมื่อใช้ Command หรือ PowerShell prompt ที่มีมาในตัวบน Windows คุณอาจได้รับข้อผิดพลาดว่า Hayabusa ไม่สามารถโหลดไฟล์ .evtx ใดๆ ได้ หากมีช่องว่างอยู่ในพาธของไฟล์หรือไดเรกทอรี เพื่อให้โหลดไฟล์ .evtx ได้อย่างถูกต้อง โปรดทำตามขั้นตอนต่อไปนี้:

1. ครอบพาธของไฟล์หรือไดเรกทอรีด้วยเครื่องหมายอัญประกาศคู่ (double quotes)
2. หากเป็นพาธของไดเรกทอรี ตรวจสอบให้แน่ใจว่าคุณไม่ได้ใส่ backslash เป็นอักขระตัวสุดท้าย

อักขระแสดงผลไม่ถูกต้อง

ด้วยฟอนต์เริ่มต้น Lucida Console บน Windows อักขระต่างๆ ที่ใช้ในโลโก้และตารางจะแสดงผลไม่ถูกต้อง คุณควรเปลี่ยนฟอนต์เป็น Consalas เพื่อแก้ไขปัญหานี้

วิธีนี้จะแก้ไขการแสดงผลข้อความส่วนใหญ่ได้ ยกเว้นการแสดงผลอักขระภาษาญี่ปุ่นในข้อความปิดท้าย:

คุณมีสี่ตัวเลือกในการแก้ไขปัญหานี้:

1. ใช้ Windows Terminal แทน Command หรือ PowerShell prompt (แนะนำ)
2. ใช้ฟอนต์ MS Gothic โปรดทราบว่า backslash จะกลายเป็นสัญลักษณ์เงินเยน
3. ติดตั้งฟอนต์ HackGen และใช้ HackGen Console NF
4. ใช้ -q, --quiet เพื่อไม่ให้แสดงข้อความปิดท้ายที่มีภาษาญี่ปุ่น

Linux

ก่อนอื่นคุณต้องทำให้ไบนารีสามารถเรียกใช้งานได้ (executable)

chmod +x ./hayabusa

จากนั้นรันจากไดเรกทอรีรากของ Hayabusa:

./hayabusa

macOS

จาก Terminal หรือ iTerm2 ก่อนอื่นคุณต้องทำให้ไบนารีสามารถเรียกใช้งานได้ (executable)

chmod +x ./hayabusa

จากนั้น ลองรันจากไดเรกทอรีรากของ Hayabusa:

./hayabusa

บน macOS เวอร์ชันล่าสุด คุณอาจได้รับข้อผิดพลาดด้านความปลอดภัยต่อไปนี้เมื่อพยายามรัน:

คลิก "Cancel" จากนั้นจาก System Preferences ให้เปิด "Security & Privacy" และจากแท็บ General คลิก "Allow Anyway"

หลังจากนั้น ลองรันอีกครั้ง

./hayabusa

คำเตือนต่อไปนี้จะปรากฏขึ้น โปรดคลิก "Open"

ตอนนี้คุณควรจะสามารถรัน hayabusa ได้แล้ว

อินพุต VHDX

คำสั่งวิเคราะห์บันทึกเหตุการณ์ทั้งหมดรองรับ --vhdx ร่วมกับ -f <IMAGE.vhdx> หรือ -d <DIR> โดยค้นหาอิมเมจในไดเรกทอรีที่ระบุและไดเรกทอรีย่อยลึกลงไปไม่เกินสามระดับ ภายในอิมเมจจะค้นหาทุกโวลุ่ม NTFS ที่อ่านได้โดยไม่มีข้อจำกัดความลึกดังกล่าว

./hayabusa dfir-timeline --vhdx -f host.vhdx -w -U -p verbose -o timeline.csv
./hayabusa dfir-timeline --vhdx -d images/ -w -U -p verbose -o timeline.csv

การสแกนแบบเนทีฟทำงานบน Linux, macOS และ Windows ผ่าน NTFS API แบบพกพาที่ใช้ร่วมกับ Juntei โดยอ่านไฟล์โดยตรงเป็นสตรีมแบบอ่านอย่างเดียวที่เลื่อนตำแหน่งได้ ไม่ต้องใช้ FUSE ไดรเวอร์เมานต์ สิทธิ์ผู้ดูแลระบบ หรือการแตกไฟล์ชั่วคราว อิมเมจต้นฉบับไม่ถูกแก้ไข พาธหลักฐานมีรูปแบบ host.vhdx!/path/log.evtx ไม่รองรับ BitLocker หรืออิมเมจที่ต้องใช้อิมเมจแม่จากภายนอก

English: VHDX input details and limitations.

E01/Ex01

--e01 สแกนอิมเมจแบบ physical EWF1 (.E01) และ EWF2 (.Ex01) โดยตรงบน Linux, macOS และ Windows โดยไม่ต้องใช้ FUSE สิทธิ์ผู้ดูแลระบบ หรือการแตกไฟล์ชั่วคราว ระบุเซกเมนต์แรกและเก็บเซกเมนต์อื่นด้วยชื่อเดิมในไดเรกทอรีเดียวกัน -d ค้นหาลึกสามระดับ และ --vhdx --e01 รองรับไดเรกทอรีที่มีทั้งสองรูปแบบ รองรับดิสก์ที่มีพาร์ทิชัน NTFS และโวลุ่ม NTFS เดี่ยว เมื่อพบความเสียหายจะรายงาน เก็บผลลัพธ์ที่อ่านได้ และออกด้วยรหัสที่ไม่ใช่ศูนย์ นี่ไม่ใช่การตรวจสอบความสมบูรณ์ของทั้งสื่อ ไม่รองรับ logical .L01/.Lx01, EWF ที่ต้องใช้รหัสผ่าน หรือ BitLocker

./hayabusa dfir-timeline --e01 -f disk.E01 -w -U -p verbose -o timeline.csv
./hayabusa log-metrics --e01 -d images/ -U -o logs.csv
./hayabusa dfir-timeline --vhdx --e01 -d images/ -w -U -o timeline.csv

English: E01/Ex01 details.