karim852/kage-dfir-toolkitConsola de triaje DFIR para hosts Windows que encadena la recolección de artefactos, líneas de tiempo correlacionadas con Sigma, escaneos YARA, inspección de sockets y cuentas, enriquecimiento de indicadores y una puntuación de riesgo calibrada.
Apunta Kage a un host Windows sospechoso y ejecuta todo el triaje en una sola cadena: CyLR recopila los artefactos, Hayabusa correlaciona los registros de eventos contra Sigma, THOR Lite escanea en busca de coincidencias YARA, VirusTotal y AbuseIPDB cualifican los indicadores, y el proveedor de IA que elijas redacta el informe. Cada etapa se transmite en vivo, sella lo que produjo y puede reproducirse por sí sola.
pip install -r requirements.txt
python -m dfirconsole # → http://127.0.0.1:8787
La vista general: once pasos sellados a la izquierda, el registro de ejecución
transmitiéndose y la puntuación desglosada en sus cuatro componentes.
| SO | Windows 10 / 11 o Windows Server |
| Python | 3.10+ desde python.org, instalado para todos los usuarios |
| Permisos | Administrador |
| Disco | unos pocos GB libres para la recolección |
# 1. Extract Kage anywhere — Desktop, C:\Kage, a USB stick, it does not matter
cd C:\Kage
# 2. Install the dependencies
pip install -r requirements.txt
# 3. Check the environment before touching a host
python preflight.py
preflight.py informa qué está listo y qué falta.
Workspace : C:\Kage
System : Windows 11
Python : 3.12.3
Dependencies
[ok] module fastapi
[ok] module uvicorn
[ok] module httpx
Rights and disk space
[ok] console running as administrator
[ok] free space: 84.2 GB
Tooling
[!] CyLR in C:\Kage\tools\cylr
→ the "Locate the tooling" step downloads it
[!] THOR Lite
→ optional step — it will simply be skipped
python -m dfirconsole
O haz clic derecho en launch.bat → Ejecutar como administrador, lo que se encarga del
virtualenv, la instalación y abre el navegador por ti.
Kage DFIR Toolkit 1.5.0
code C:\Kage\dfirconsole
workspace C:\Kage
open http://127.0.0.1:8787
El espacio de trabajo es donde sea que lo hayas lanzado. Nada que configurar. Las herramientas, la evidencia y la salida aterrizan junto a la consola.
python -m dfirconsole --demo
El modo de demostración construye una intrusión sintética — adjunto malicioso, PowerShell codificado, Defender deshabilitado, robo de credenciales, persistencia, C2, copias de sombra eliminadas — y ejecuta toda la cadena sobre ella. Nada en tu máquina se toca. La mejor forma de aprender la interfaz antes de un incidente real.
Inicia como administrador, abre http://127.0.0.1:8787 y verifica que la barra de estado muestre live run · Windows y no demonstration mode.
Haz clic en Settings:
| Campo | Ejemplo | Por qué importa |
|---|---|---|
| Referencia del caso | INC-2026-0042 | nombra el informe, el registro y el archivo |
| Analista | N. Delaunay | aparece en el encabezado del informe |
Deja Workspace folder vacío, rastrea la carpeta de lanzamiento por sí solo. Haz clic en Save.
La columna izquierda es la cadena de custodia. Cada paso tiene una casilla de verificación; todas están marcadas por defecto excepto el escaneo YARA.
Para una primera ejecución, desmarca todo excepto:
☑ Prepare the workspace
☑ Exclude the folder from Defender
☑ Locate the tooling
☑ Update the Sigma rules
Haz clic en Run 4 steps. Aproximadamente un minuto. Esto descarga CyLR y Hayabusa y confirma que tu elevación realmente funciona antes de que comience algo largo.
Una vez que esos cuatro estén sellados, marca el resto:
☑ Collect the artefacts CyLR — a few minutes, several GB
☑ Capture the system context accounts, sockets, disk root, log coverage
☑ Build the timeline Hayabusa correlates against Sigma
☑ Analyse the timeline score, alert families, indicators
Haz clic en Run y observa el flujo del registro de ejecución. Cada paso finalizado obtiene un sello — un SHA-256 que puedes verificar más tarde.
| Dónde | Qué obtienes |
|---|---|
| Overview | puntuación de riesgo con sus cuatro componentes, alertas por familia |
| Alerts | cada alerta, filtrable por severidad y familia |
| System | cuentas, sockets vinculados a procesos, carpetas inusuales, cobertura de registros |
| Indicators | hashes, IPs y dominios extraídos de la línea de tiempo |
Haz clic en cualquier fila de la tabla para abrir el panel de lectura: cada campo, la línea de comandos
completa, todos los datos sin procesar. ← → para moverte entre elementos, Esc para cerrar.
Con las claves de API configuradas:
☑ Enrich the indicators VirusTotal + AbuseIPDB reputation
☑ Write the summary the AI drafts the report
Sin claves, ambos se marcan como omitidos y se genera un informe local en su lugar — misma estructura, sin llamada de red.
Arriba a la derecha del panel:
💡 Reproducir un solo paso: haz doble clic en su etiqueta en la columna izquierda. Útil cuando Hayabusa falla pero la recolección está bien — no hace falta recolectar dos veces.