karim852/kage-dfir-toolkitConsole di triage DFIR per host Windows che concatena raccolta di artefatti, timeline correlate con Sigma, scansioni YARA, ispezione di socket e account, arricchimento degli indicatori e un punteggio di rischio calibrato.
Punta Kage verso un host Windows sospetto ed esegue l'intera triage in un'unica catena: CyLR raccoglie gli artefatti, Hayabusa correla i log degli eventi con Sigma, THOR Lite esegue la scansione alla ricerca di corrispondenze YARA, VirusTotal e AbuseIPDB qualificano gli indicatori, e il provider AI che scegli redige il report. Ogni fase viene trasmessa in tempo reale, sigilla ciò che ha prodotto e può essere rieseguita singolarmente.
pip install -r requirements.txt
python -m dfirconsole # → http://127.0.0.1:8787
La panoramica: undici passaggi sigillati sulla sinistra, il registro di esecuzione
in streaming e il punteggio suddiviso nei suoi quattro componenti.
| OS | Windows 10 / 11 o Windows Server |
| Python | 3.10+ da python.org, installato per tutti gli utenti |
| Diritti | Amministratore |
| Disco | qualche GB libero per la raccolta |
# 1. Extract Kage anywhere — Desktop, C:\Kage, a USB stick, it does not matter
cd C:\Kage
# 2. Install the dependencies
pip install -r requirements.txt
# 3. Check the environment before touching a host
python preflight.py
preflight.py segnala ciò che è pronto e ciò che manca.
Workspace : C:\Kage
System : Windows 11
Python : 3.12.3
Dependencies
[ok] module fastapi
[ok] module uvicorn
[ok] module httpx
Rights and disk space
[ok] console running as administrator
[ok] free space: 84.2 GB
Tooling
[!] CyLR in C:\Kage\tools\cylr
→ the "Locate the tooling" step downloads it
[!] THOR Lite
→ optional step — it will simply be skipped
python -m dfirconsole
Oppure fai clic con il tasto destro su launch.bat → Esegui come amministratore, che gestisce il
virtualenv, l'installazione e apre il browser per te.
Kage DFIR Toolkit 1.5.0
code C:\Kage\dfirconsole
workspace C:\Kage
open http://127.0.0.1:8787
La workspace è il punto da cui hai avviato. Nulla da configurare. Strumenti, evidenze e output finiscono tutti accanto alla console.
python -m dfirconsole --demo
La modalità dimostrativa costruisce un'intrusione sintetica — allegato malevolo, PowerShell codificato, Defender disabilitato, furto di credenziali, persistenza, C2, copie shadow eliminate — ed esegue l'intera catena su di essa. Nulla sulla tua macchina viene toccato. Il modo migliore per imparare l'interfaccia prima di un incidente reale.
Avvia come amministratore, apri http://127.0.0.1:8787 e verifica che la barra di stato mostri live run · Windows e non demonstration mode.
Clicca su Settings:
| Campo | Esempio | Perché è importante |
|---|---|---|
| Riferimento del caso | INC-2026-0042 | assegna un nome al report, al log e all'archivio |
| Analista | N. Delaunay | compare nell'intestazione del report |
Lascia Workspace folder vuoto: tiene traccia da solo della cartella di avvio. Clicca su Save.
La colonna di sinistra è la catena di custodia. Ogni passo ha una casella di controllo; tutte sono selezionate per impostazione predefinita tranne la scansione YARA.
Per una prima esecuzione, deseleziona tutto tranne:
☑ Prepare the workspace
☑ Exclude the folder from Defender
☑ Locate the tooling
☑ Update the Sigma rules
Clicca Esegui 4 passaggi. Circa un minuto. Questo scarica CyLR e Hayabusa e conferma che la tua elevazione funziona davvero prima che inizi qualcosa di lungo.
Una volta che quei quattro sono sigillati, seleziona il resto:
☑ Collect the artefacts CyLR — a few minutes, several GB
☑ Capture the system context accounts, sockets, disk root, log coverage
☑ Build the timeline Hayabusa correlates against Sigma
☑ Analyse the timeline score, alert families, indicators
Fai clic su Run e osserva lo streaming del registro di esecuzione. Ogni passo completato riceve un seal — un SHA-256 che puoi verificare in seguito.
| Dove | Cosa ottieni |
|---|---|
| Overview | punteggio di rischio con le sue quattro componenti, avvisi per famiglia |
| Alerts | ogni avviso, filtrabile per gravità e famiglia |
| System | account, socket legati ai processi, cartelle anomale, copertura dei log |
| Indicators | hash, IP e domini estratti dalla timeline |
Fai clic su qualsiasi riga della tabella per aprire il pannello di lettura: ogni campo, la riga di comando
completa, tutti i dati grezzi. ← → per spostarti tra gli elementi, Esc per chiudere.
Con le chiavi API configurate:
☑ Enrich the indicators VirusTotal + AbuseIPDB reputation
☑ Write the summary the AI drafts the report
Senza chiavi, entrambi vengono contrassegnati come saltati e viene prodotto invece un write-up locale — stessa struttura, nessuna chiamata di rete.
In alto a destra nella dashboard:
💡 Ripeti un singolo passo: fai doppio clic sul suo tag nella colonna di sinistra. Utile quando Hayabusa fallisce ma la raccolta è a posto — non serve raccogliere due volte.