Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Deutsch
Entry № 578

KAPE (Kroll Artifact Parser and Extractor)

Was ist KAPE (Kroll Artifact Parser and Extractor)?

KAPE (Kroll Artifact Parser and Extractor)Ein Windows-Triage-Tool von Kroll, das forensische Artefakte von Live-Systemen oder Images einsammelt und mit Parser-Modulen direkt auswertbare Ergebnisse erzeugt.

KAPE wurde von Eric Zimmerman bei Kroll entwickelt und ist ein kostenloses Triage-Framework fuer Windows-DFIR. Es nutzt zwei erweiterbare Bibliotheken: Targets beschreibt, welche forensischen Artefakte kopiert werden (Prefetch, Registry-Hives, Event-Logs, $MFT, Browser-Verlauf usw.), Modules beschreibt, wie diese mit Drittwerkzeugen wie den EZ Tools oder Volatility geparst werden. Ermittler fuehren KAPE auf einem laufenden Endpunkt, einem gemounteten Image oder einer Volume Shadow Copy aus und sammeln Daten in Minuten statt Stunden, wobei Zeitstempel und Quellpfade erhalten bleiben. Die Ausgabe ist CSV, JSON oder ein fuer Timeline Explorer und Elastic geeignetes Format. KAPE gehoert heute zum Standard von Incident-Response-Playbooks.

● Beispiele

  1. 01

    `kape.exe --tsource C: --tdest D:\Triage --target KapeTriage` zur Sammlung der Standard-Artefakte ausfuehren.

  2. 02

    Targets mit `--module !EZParser` verketten, um in einem Durchlauf geparste CSVs zu erhalten.

● Häufige Fragen

Was ist KAPE (Kroll Artifact Parser and Extractor)?

Ein Windows-Triage-Tool von Kroll, das forensische Artefakte von Live-Systemen oder Images einsammelt und mit Parser-Modulen direkt auswertbare Ergebnisse erzeugt. Es gehört zur Kategorie Forensik und Incident Response der Cybersicherheit.

Was bedeutet KAPE (Kroll Artifact Parser and Extractor)?

Ein Windows-Triage-Tool von Kroll, das forensische Artefakte von Live-Systemen oder Images einsammelt und mit Parser-Modulen direkt auswertbare Ergebnisse erzeugt.

Wie funktioniert KAPE (Kroll Artifact Parser and Extractor)?

KAPE wurde von Eric Zimmerman bei Kroll entwickelt und ist ein kostenloses Triage-Framework fuer Windows-DFIR. Es nutzt zwei erweiterbare Bibliotheken: Targets beschreibt, welche forensischen Artefakte kopiert werden (Prefetch, Registry-Hives, Event-Logs, $MFT, Browser-Verlauf usw.), Modules beschreibt, wie diese mit Drittwerkzeugen wie den EZ Tools oder Volatility geparst werden. Ermittler fuehren KAPE auf einem laufenden Endpunkt, einem gemounteten Image oder einer Volume Shadow Copy aus und sammeln Daten in Minuten statt Stunden, wobei Zeitstempel und Quellpfade erhalten bleiben. Die Ausgabe ist CSV, JSON oder ein fuer Timeline Explorer und Elastic geeignetes Format. KAPE gehoert heute zum Standard von Incident-Response-Playbooks.

Wie schützt man sich gegen KAPE (Kroll Artifact Parser and Extractor)?

Schutzmaßnahmen gegen KAPE (Kroll Artifact Parser and Extractor) kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Welche anderen Bezeichnungen gibt es für KAPE (Kroll Artifact Parser and Extractor)?

Übliche alternative Bezeichnungen: Kroll Artifact Parser and Extractor.

● Verwandte Begriffe

● Siehe auch