DFIRHub

DFIRHub est une référence pour les artefacts forensiques Windows. Il répertorie les cibles KAPE du dépôt KapeFiles d'Eric Zimmerman, indique ce que chacune collecte et fournit la commande à exécuter. Il convertit également les règles Sigma en requêtes pour votre SIEM.

Ce qu'il fait

Vous pouvez rechercher des artefacts par nom, ou partir d'une question sur la page d'accueil, comme « Ce programme s'est-il exécuté ? ». Chaque page d'artefact liste les chemins collectés par KAPE, ajoute des notes et renvoie vers des recettes CyberChef pour les données qu'il contient. Un panneau latéral construit la commande de collecte pour KAPE, PowerShell, Batch ou WSL.

Les collections regroupent des artefacts liés, et le générateur de scripts combine plusieurs artefacts en un seul script de collecte. Des liens courts ouvrent directement un artefact : /prefetch fonctionne pour les plus populaires, et /a/<slug> fonctionne pour tous les artefacts.

Le convertisseur transforme une règle Sigma en l'un de 17 backends, dont Splunk, Elastic, KQL, Loki et CrowdStrike. Il exécute pySigma dans le navigateur via Pyodide. Vous pouvez également rechercher dans le dépôt SigmaHQ et importer une règle depuis les résultats.

Le site est sombre par défaut. Le commutateur de l'en-tête propose aussi un thème clair et un réglage automatique qui suit votre navigateur. Chaque page d'artefact dispose de sa propre image d'aperçu social, générée au moment du build.

Pour commencer

Vous avez besoin de Node 24 et pnpm 10. Les données KapeFiles sont un sous-module git, initialisez-le donc après avoir cloné.

git clone https://github.com/LasCC/DFIRHub.git
cd DFIRHub
git submodule update --init --recursive
pnpm install
pnpm dev

Ouvrez http://localhost:4321.

Commandes

Commande	Description
pnpm dev	Démarre le serveur de développement
pnpm build	Construit le site. Génère également une image sociale par artefact, environ 90 secondes au total
pnpm preview	Sert la version de production localement
pnpm test	Exécute les tests
pnpm astro check	Vérifie les types du projet
pnpm check	Vérifie le lint et le formatage avec Ultracite
pnpm fix	Corrige les problèmes de lint et de formatage
pnpm run sigma:index	Reconstruit l'index des règles Sigma à partir de SigmaHQ

Structure du projet

src/
├── components/
│   ├── artifact/     # Artifact page: paths, command generator, CyberChef links
│   ├── artifacts/    # Category filters for the artifact list
│   ├── builder/      # Script builder
│   ├── converter/    # Sigma rule converter UI
│   ├── home/         # Landing page sections
│   ├── layout/       # Header, footer, shader background, keyboard shortcuts
│   ├── search/       # Pagefind search
│   └── ui/           # Shared UI primitives and code blocks
├── content/kapefiles # KapeFiles git submodule
├── hooks/            # Theme and clipboard hooks
├── layouts/          # Base page layout and SEO tags
├── lib/              # KAPE data, command generators, social card renderer
│   └── sigma/        # Sigma converter engine (Pyodide worker, backends, pipelines)
├── pages/            # Astro file-based routing, including /og/<slug>.png
└── styles/           # Global Tailwind styles

Déploiement

Le site est déployé sur Netlify. Deux workflows GitHub Actions maintiennent les données à jour. Les deux nécessitent un secret NETLIFY_BUILD_HOOK, que vous créez dans Build hooks sur Netlify et ajoutez aux secrets du dépôt dans GitHub.

Workflow	Planification	Ce qu'il fait
update-kapefiles.yml	Hebdomadaire (lun. 00:00 UTC)	Déclenche une reconstruction Netlify pour récupérer le dernier sous-module KapeFiles
update-sigma-rules.yml	Mensuel (1er, 02:00 UTC)	Reconstruit l'index des règles Sigma depuis l'API SigmaHQ, le commit et déclenche une reconstruction

Vous pouvez également lancer l'un ou l'autre workflow manuellement avec workflow_dispatch.

Raccourcis clavier

Raccourci	Action
/ ou Cmd+K	Ouvrir la recherche
Cmd+Shift+K	Ouvrir la recherche Sigma (page convertisseur)
g h	Aller à l'accueil
g a	Aller aux artefacts
g c	Aller aux collections
g b	Aller au constructeur
g s	Aller au convertisseur
j / k	Descendre / monter dans une liste
?	Afficher tous les raccourcis

Construit avec

Astro et React, Tailwind CSS, Pagefind, Pyodide, Satori pour les images sociales, et Netlify.

Licence

MIT

Remerciements

• Eric Zimmerman a écrit KAPE et maintient KapeFiles.
• SigmaHQ maintient les règles de détection Sigma.
• pySigma est le moteur de conversion.