KAPE (Kroll 工件解析与提取器).

由 Kroll 推出的 Windows 取证分流工具,可从在线系统或镜像中收集取证工件,并通过解析模块生成可直接审查的结果。 它属于网络安全的 取证与应急响应 分类。

由 Kroll 推出的 Windows 取证分流工具,可从在线系统或镜像中收集取证工件,并通过解析模块生成可直接审查的结果。

KAPE 由 Kroll 的 Eric Zimmerman 编写,是一款免费的 Windows DFIR 分流框架。它使用两个可扩展库:Targets 定义需要复制的取证工件 (如 Prefetch、注册表配置单元、事件日志、$MFT、浏览器历史等),Modules 定义如何使用 EZ Tools、Volatility 等第三方工具进行解析。调查人员可在在线终端、挂载的镜像或卷影副本上运行 KAPE,在保留时间戳与源路径的同时将数据采集从数小时缩短到数分钟。输出可以是 CSV、JSON 或可被 Timeline Explorer 与 Elastic 直接使用的格式。KAPE 已成为入侵响应剧本中的标准组件。

针对 KAPE (Kroll 工件解析与提取器) 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: Kroll Artifact Parser and Extractor。