DFIRHub

DFIRHub ist eine Referenz für Windows-Forensik-Artefakte. Es listet die KAPE-Targets aus Eric Zimmermans KapeFiles-Repository auf, zeigt, was jedes einzelne erfasst, und liefert den auszuführenden Befehl. Außerdem konvertiert es Sigma-Regeln in Abfragen für dein SIEM.

Was es macht

Du kannst Artefakte nach Namen durchsuchen oder mit einer Frage auf der Startseite beginnen, etwa „Wurde dieses Programm ausgeführt?". Jede Artefaktseite listet die von KAPE erfassten Pfade auf, ergänzt Hinweise und verlinkt auf CyberChef-Rezepte für die darin enthaltenen Daten. Ein Seitenbereich erstellt den Erfassungsbefehl für KAPE, PowerShell, Batch oder WSL.

Sammlungen gruppieren verwandte Artefakte, und der Skript-Builder kombiniert mehrere Artefakte zu einem einzigen Sammlungsskript. Kurzlinks öffnen ein Artefakt direkt: /prefetch funktioniert für beliebte Artefakte, und /a/<slug> funktioniert für jedes Artefakt.

Der Konverter wandelt eine Sigma-Regel in eines von 17 Backends um, darunter Splunk, Elastic, KQL, Loki und CrowdStrike. Er führt pySigma über Pyodide im Browser aus. Du kannst auch das SigmaHQ-Repository durchsuchen und eine Regel aus den Ergebnissen importieren.

Die Website ist standardmäßig dunkel. Der Schalter in der Kopfzeile bietet außerdem ein helles Theme und eine Auto-Einstellung, die deinem Browser folgt. Jede Artefaktseite hat ihre eigene Social-Preview-Grafik, die zur Build-Zeit gerendert wird.

Erste Schritte

Du benötigst Node 24 und pnpm 10. Die KapeFiles-Daten sind ein Git-Submodul, initialisiere es daher nach dem Klonen.

git clone https://github.com/LasCC/DFIRHub.git
cd DFIRHub
git submodule update --init --recursive
pnpm install
pnpm dev

Öffne http://localhost:4321.

Befehle

Befehl	Beschreibung
pnpm dev	Startet den Entwicklungsserver
pnpm build	Baut die Seite. Es wird außerdem ein Social-Image pro Artefakt gerendert, insgesamt etwa 90 Sekunden
pnpm preview	Stellt den Produktions-Build lokal bereit
pnpm test	Führt die Tests aus
pnpm astro check	Führt die Typprüfung des Projekts durch
pnpm check	Führt Linting und Formatprüfung mit Ultracite durch
pnpm fix	Behebt Lint- und Formatierungsprobleme
pnpm run sigma:index	Baut den Sigma-Regelindex aus SigmaHQ neu auf

Projektstruktur

src/
├── components/
│   ├── artifact/     # Artifact page: paths, command generator, CyberChef links
│   ├── artifacts/    # Category filters for the artifact list
│   ├── builder/      # Script builder
│   ├── converter/    # Sigma rule converter UI
│   ├── home/         # Landing page sections
│   ├── layout/       # Header, footer, shader background, keyboard shortcuts
│   ├── search/       # Pagefind search
│   └── ui/           # Shared UI primitives and code blocks
├── content/kapefiles # KapeFiles git submodule
├── hooks/            # Theme and clipboard hooks
├── layouts/          # Base page layout and SEO tags
├── lib/              # KAPE data, command generators, social card renderer
│   └── sigma/        # Sigma converter engine (Pyodide worker, backends, pipelines)
├── pages/            # Astro file-based routing, including /og/<slug>.png
└── styles/           # Global Tailwind styles

Deployment

Die Website wird auf Netlify bereitgestellt. Zwei GitHub-Actions-Workflows halten die Daten aktuell. Beide benötigen ein NETLIFY_BUILD_HOOK-Secret, das du unter Build hooks in Netlify erstellst und den Repository-Secrets in GitHub hinzufügst.

Workflow	Zeitplan	Was er tut
update-kapefiles.yml	Wöchentlich (Mo 00:00 UTC)	Löst einen Netlify-Rebuild aus, um das neueste KapeFiles-Submodul abzurufen
update-sigma-rules.yml	Monatlich (1., 02:00 UTC)	Baut den Sigma-Regelindex aus der SigmaHQ-API neu auf, committet ihn und löst einen Rebuild aus

Du kannst beide Workflows auch manuell mit workflow_dispatch starten.

Tastaturkürzel

Kürzel	Aktion
/ oder Cmd+K	Suche öffnen
Cmd+Shift+K	Sigma-Suche öffnen (Konverter-Seite)
g h	Zur Startseite wechseln
g a	Zu den Artefakten wechseln
g c	Zu den Sammlungen wechseln
g b	Zum Builder wechseln
g s	Zum Konverter wechseln
j / k	In einer Liste nach unten / oben bewegen
?	Alle Kürzel anzeigen

Erstellt mit

Astro und React, Tailwind CSS, Pagefind, Pyodide, Satori für die Social Images und Netlify.

Lizenz

MIT

Danksagungen

• Eric Zimmerman hat KAPE geschrieben und pflegt KapeFiles.
• SigmaHQ pflegt die Sigma-Erkennungsregeln.
• pySigma ist die Konvertierungs-Engine.