KAPE (Kroll Artifact Parser and Extractor).

Herramienta de triaje para Windows creada por Kroll que recolecta artefactos forenses de sistemas vivos o imagenes y ejecuta modulos parseadores para producir salida lista para revision. Pertenece a la categoría de Forense y respuesta en ciberseguridad.

Herramienta de triaje para Windows creada por Kroll que recolecta artefactos forenses de sistemas vivos o imagenes y ejecuta modulos parseadores para producir salida lista para revision.

KAPE, desarrollado por Eric Zimmerman en Kroll, es un framework de triaje gratuito para DFIR en Windows. Utiliza dos bibliotecas extensibles: Targets describe que artefactos forenses copiar (Prefetch, ramas del registro, registros de eventos, $MFT, historial del navegador, etc.) y Modules describe como parsearlos con herramientas externas como EZ Tools o Volatility. El analista ejecuta KAPE contra un endpoint en vivo, una imagen montada o una shadow copy para recolectar datos en minutos en lugar de horas, preservando marcas de tiempo y rutas de origen. La salida puede ser CSV, JSON o formatos compatibles con Timeline Explorer y Elastic. KAPE se ha vuelto estandar en los playbooks de respuesta a intrusiones.

Las defensas contra KAPE (Kroll Artifact Parser and Extractor) combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Kroll Artifact Parser and Extractor.