DFIRHub

DFIRHub è un riferimento per gli artefatti forensi di Windows. Elenca i target KAPE dal repository KapeFiles di Eric Zimmerman, mostra cosa raccoglie ciascuno di essi e fornisce il comando da eseguire. Converte inoltre le regole Sigma in query per il tuo SIEM.

Cosa fa

Puoi cercare gli artefatti per nome, oppure partire da una domanda nella pagina iniziale, come "Questo programma è stato eseguito?". Ogni pagina di artefatto elenca i percorsi raccolti da KAPE, aggiunge note e collega a ricette CyberChef per i dati contenuti. Un pannello laterale costruisce il comando di raccolta per KAPE, PowerShell, Batch o WSL.

Le collezioni raggruppano artefatti correlati, e il generatore di script combina diversi artefatti in un unico script di raccolta. I link brevi aprono direttamente un artefatto: /prefetch funziona per quelli più diffusi, e /a/<slug> funziona per ogni artefatto.

Il convertitore trasforma una regola Sigma in uno di 17 backend, tra cui Splunk, Elastic, KQL, Loki e CrowdStrike. Esegue pySigma nel browser tramite Pyodide. Puoi anche cercare nel repository SigmaHQ e importare una regola dai risultati.

Il sito è scuro per impostazione predefinita. L'interruttore nell'intestazione offre anche un tema chiaro e un'impostazione automatica che segue il browser. Ogni pagina di artefatto ha la propria immagine di anteprima social, generata in fase di build.

Per iniziare

Ti servono Node 24 e pnpm 10. I dati di KapeFiles sono un sottomodulo git, quindi inizializzalo dopo aver clonato.

git clone https://github.com/LasCC/DFIRHub.git
cd DFIRHub
git submodule update --init --recursive
pnpm install
pnpm dev

Apri http://localhost:4321.

Comandi

Comando	Descrizione
pnpm dev	Avvia il server di sviluppo
pnpm build	Compila il sito. Genera anche un'immagine social per ogni artefatto, circa 90 secondi in totale
pnpm preview	Serve localmente la build di produzione
pnpm test	Esegue i test
pnpm astro check	Esegue il controllo dei tipi sul progetto
pnpm check	Esegue il lint e controlla la formattazione con Ultracite
pnpm fix	Corregge i problemi di lint e formattazione
pnpm run sigma:index	Ricostruisce l'indice delle regole Sigma da SigmaHQ

Struttura del progetto

src/
├── components/
│   ├── artifact/     # Artifact page: paths, command generator, CyberChef links
│   ├── artifacts/    # Category filters for the artifact list
│   ├── builder/      # Script builder
│   ├── converter/    # Sigma rule converter UI
│   ├── home/         # Landing page sections
│   ├── layout/       # Header, footer, shader background, keyboard shortcuts
│   ├── search/       # Pagefind search
│   └── ui/           # Shared UI primitives and code blocks
├── content/kapefiles # KapeFiles git submodule
├── hooks/            # Theme and clipboard hooks
├── layouts/          # Base page layout and SEO tags
├── lib/              # KAPE data, command generators, social card renderer
│   └── sigma/        # Sigma converter engine (Pyodide worker, backends, pipelines)
├── pages/            # Astro file-based routing, including /og/<slug>.png
└── styles/           # Global Tailwind styles

Deployment

Il sito viene distribuito su Netlify. Due workflow di GitHub Actions mantengono i dati aggiornati. Entrambi richiedono un secret NETLIFY_BUILD_HOOK, che si crea in Build hooks su Netlify e si aggiunge ai secret del repository su GitHub.

Workflow	Pianificazione	Cosa fa
update-kapefiles.yml	Settimanale (lun 00:00 UTC)	Avvia una ricostruzione Netlify per recuperare l'ultimo sottomodulo KapeFiles
update-sigma-rules.yml	Mensile (1° del mese, 02:00 UTC)	Ricostruisce l'indice delle regole Sigma dall'API SigmaHQ, esegue il commit e avvia una ricostruzione

È anche possibile avviare manualmente uno dei due workflow con workflow_dispatch.

Scorciatoie da tastiera

Scorciatoia	Azione
/ o Cmd+K	Apri la ricerca
Cmd+Shift+K	Apri la ricerca Sigma (pagina converter)
g h	Vai alla home
g a	Vai agli artefatti
g c	Vai alle collezioni
g b	Vai al builder
g s	Vai al converter
j / k	Sposta giù / su in un elenco
?	Mostra tutte le scorciatoie

Realizzato con

Astro e React, Tailwind CSS, Pagefind, Pyodide, Satori per le immagini social e Netlify.

Licenza

MIT

Ringraziamenti

• Eric Zimmerman ha scritto KAPE e mantiene KapeFiles.
• SigmaHQ mantiene le regole di rilevamento Sigma.
• pySigma è il motore di conversione.