KAPE (Kroll Artifact Parser and Extractor).

Инструмент триажа для Windows от Kroll, который собирает криминалистические артефакты с работающих систем или образов и запускает модули-парсеры, выдавая готовый для анализа вывод. Относится к категории Криминалистика и реагирование в кибербезопасности.

Инструмент триажа для Windows от Kroll, который собирает криминалистические артефакты с работающих систем или образов и запускает модули-парсеры, выдавая готовый для анализа вывод.

KAPE, написанный Эриком Циммерманом в Kroll, — бесплатный фреймворк триажа для Windows DFIR. Он использует две подключаемые библиотеки: Targets описывает, какие криминалистические артефакты копировать (Prefetch, кусты реестра, журналы событий, $MFT, история браузеров и т. п.), а Modules — как разбирать их сторонними инструментами, такими как EZ Tools или Volatility. Аналитики запускают KAPE на работающем хосте, смонтированном образе или теневой копии тома, собирая данные за минуты вместо часов, сохраняя при этом метки времени и исходные пути. Результат может быть в CSV, JSON или форматах, понятных Timeline Explorer и Elastic. KAPE стал стандартом плейбуков реагирования на инциденты.

Защита от KAPE (Kroll Artifact Parser and Extractor) обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: Kroll Artifact Parser and Extractor.