Triagem de Windows com KAPE

Uso Autorizado Apenas: KAPE coleta artefatos forenses de sistemas. Execute KAPE apenas em sistemas que você possui ou para os quais está explicitamente autorizado por escrito a adquirir e analisar. Preserve a cadeia de custódia e siga os procedimentos de manuseio de evidências da sua organização.

Visão Geral

KAPE (Kroll Artifact Parser and Extractor) é uma ferramenta gratuita e nativa do Windows para triagem, criada por Eric Zimmerman e distribuída pela Kroll. Ela executa duas fases distintas controladas por conjuntos de configuração separados:

• Targets (arquivos .tkape) definem o que coletar. KAPE usa o sistema de arquivos NTFS bruto (via acesso direto ao volume) para copiar arquivos bloqueados/em uso, como hives de registro, $MFT, logs de eventos, prefetch, bancos de dados de navegadores e arquivos LNK, sem acionar proteções anti-adulteração. Targets podem ser encadeados em targets "compostos" (por exemplo, KapeTriage, !SANS_Triage) que extraem um subconjunto forense rico em minutos.
• Modules (arquivos .mkape) definem como processar dados coletados (ou ao vivo). Modules encapsulam binários externos — principalmente as ferramentas de Eric Zimmerman (PECmd, MFTECmd, RECmd, etc.) — e emitem saída normalizada em CSV/JSON. O módulo composto !EZParser executa a suíte completa de EZ Tools contra uma coleção de target.

KAPE vem com uma interface de linha de comando (CLI) (kape.exe) e uma interface gráfica (GUI) (gkape.exe). Devido à sua velocidade, KAPE permite que os respondedores priorizem quais hosts justificam uma imagem forense profunda, tornando-se um pilar da triagem moderna de DFIR remota/em escala.

Quando Usar

• Durante a fase inicial de contenção/triagem de um incidente, quando você precisa rapidamente de artefatos de execução, persistência e conta de um ou vários hosts.
• Quando a imagem de disco completa é impraticável (discos grandes, locais remotos, pressão de tempo), mas você ainda precisa de um conjunto de artefatos defensável e analisável.
• Ao automatizar a coleta em uma frota via execução remota (PSExec, resposta ao vivo de EDR, SOAR) usando arquivos _kape.cli em modo batch.
• Quando você precisa coletar de Cópias de Sombra de Volume (Volume Shadow Copies) para recuperar estados históricos de artefatos.

Pré-requisitos

• Host Windows (KAPE roda no Windows; módulos EZ Tools requerem o runtime .NET incluído nas ferramentas).
• Baixe o KAPE da fonte oficial (gratuito, registro necessário): https://www.kroll.com/kape
• Privilégios de administrador (necessários para acesso bruto ao volume e VSS).
• Atualize Targets, Modules e os binários incluídos:

  REM From the KAPE directory, sync community Targets/Modules from GitHub
  kape.exe --sync
  
  REM Download/update the EZ Tools binaries that Modules invoke
  Get-KAPEUpdate.ps1
  

• Um destino limpo e protegido contra gravação (unidade externa ou compartilhamento de rede) separado da fonte da evidência.

Objetivos

• Coletar um conjunto de artefatos de triagem forensemente sólido de um volume de destino.
• Incluir opcionalmente Cópias de Sombra de Volume para recuperação histórica.
• Empacotar a saída como um contêiner VHDX/ZIP com hashing para cadeia de custódia.
• Executar módulos para analisar a coleção em CSV/JSON pronto para o analista.
• Construir uma coleta repetível em modo batch para implantação em frota.

Mapeamento MITRE ATT&CK

KAPE é uma ferramenta defensiva de DFIR. O mapeamento reflete os artefatos de origem de dados (sistema de arquivos local) que as ações do adversário deixam para trás e que o KAPE preserva para investigação.

Fluxo de Trabalho

1. Sincronizar configurações e atualizar binários

Sempre trabalhe com os Targets/Modules e binários EZ Tools atuais para que os parsers correspondam aos formatos de artefato mais recentes.

cd C:\KAPE
kape.exe --sync

2. Inventariar Targets e Modules disponíveis

Liste o que está disponível antes de construir uma coleção para que você escopo precisamente.

REM Show all Targets
kape.exe --tlist

REM Show all Modules
kape.exe --mlist

3. Coletar um conjunto de targets de triagem

Targets requerem os três switches --tsource, --target e --tdest. --tflush limpa o destino primeiro. Use um target composto como KapeTriage para uma extração rápida e ampla.

kape.exe --tsource C: ^
         --target KapeTriage ^
         --tdest E:\kape_out\HOST01\tdest ^
         --tflush

4. Incluir Cópias de Sombra de Volume

Adicione --vss para processar também cada snapshot de VSS no volume de origem, recuperando estados históricos de artefatos.

kape.exe --tsource C: ^
         --target !SANS_Triage ^

…