KAPE (Kroll Artifact Parser and Extractor).

KAPE は Kroll の Eric Zimmerman が開発した、Windows DFIR 向けの無料トリアージフレームワークです。Targets と Modules という 2 つの拡張可能なライブラリを使い、Targets ではコピー対象のフォレンジックアーティファクト (Prefetch、レジストリハイブ、イベントログ、$MFT、ブラウザ履歴など) を、Modules では EZ Tools や Volatility といったサードパーティツールで解析する方法を記述します。調査員は稼働中のエンドポイント・マウント済みイメージ・ボリュームシャドウコピーに対して KAPE を実行し、タイムスタンプと取得元パスを保持したまま、数時間ではなく数分でデータを収集できます。出力は CSV、JSON、あるいは Timeline Explorer や Elastic で扱える形式です。KAPE は今やインシデント対応プレイブックの定番ツールです。