lascc/dfirhubアーティファクトパスを検索し、収集スクリプトをビルドし、Sigmaルールを変換。すべてを一か所で。
DFIRHubはWindowsフォレンジックアーティファクトのリファレンスです。Eric ZimmermanのKapeFilesリポジトリにあるKAPEターゲットを一覧表示し、それぞれが何を収集するのかを示し、実行するためのコマンドを提供します。また、SigmaルールをSIEM向けのクエリに変換します。
アーティファクトは名前で検索できます。また、ホームページ上の「このプログラムは実行されたか？」といった質問から始めることもできます。各アーティファクトページには、KAPEが収集するパスが一覧表示され、注記が追加され、内部データ向けのCyberChefレシピへのリンクが掲載されています。サイドパネルでは、KAPE、PowerShell、Batch、WSL向けの収集コマンドを生成できます。
コレクションは関連するアーティファクトをグループ化し、スクリプトビルダーは複数のアーティファクトを1つのコレクションスクリプトにまとめます。ショートリンクでアーティファクトを直接開けます。人気のあるものは/prefetchで動作し、すべてのアーティファクトは/a/<slug>で動作します。
コンバーターはSigmaルールを17のバックエンドのいずれかに変換します。これにはSplunk、Elastic、KQL、Loki、CrowdStrikeが含まれます。ブラウザ内でPyodideを介してpySigmaを実行します。SigmaHQリポジトリを検索し、結果からルールをインポートすることもできます。
サイトはデフォルトでダークテーマです。ヘッダーのスイッチでは、ライトテーマと、ブラウザに従う自動設定も選択できます。すべてのアーティファクトページには、ビルド時にレンダリングされる独自のソーシャルプレビュー画像があります。
Node 24とpnpm 10が必要です。KapeFilesのデータはgitサブモジュールであるため、クローン後に初期化してください。
git clone https://github.com/LasCC/DFIRHub.git
cd DFIRHub
git submodule update --init --recursive
pnpm install
pnpm dev
http://localhost:4321 を開きます。
| コマンド | 説明 |
|---|---|
pnpm dev | 開発サーバーを起動する |
pnpm build | サイトをビルドする。アーティファクトごとにソーシャル画像もレンダリングし、合計で約90秒 |
pnpm preview | 本番ビルドをローカルで配信する |
pnpm test | テストを実行する |
pnpm astro check | プロジェクトの型チェックを行う |
pnpm check | Ultracite でリントとフォーマットをチェックする |
pnpm fix | リントとフォーマットの問題を修正する |
pnpm run sigma:index | SigmaHQ から Sigma ルールのインデックスを再構築する |
src/
├── components/
│ ├── artifact/ # Artifact page: paths, command generator, CyberChef links
│ ├── artifacts/ # Category filters for the artifact list
│ ├── builder/ # Script builder
│ ├── converter/ # Sigma rule converter UI
│ ├── home/ # Landing page sections
│ ├── layout/ # Header, footer, shader background, keyboard shortcuts
│ ├── search/ # Pagefind search
│ └── ui/ # Shared UI primitives and code blocks
├── content/kapefiles # KapeFiles git submodule
├── hooks/ # Theme and clipboard hooks
├── layouts/ # Base page layout and SEO tags
├── lib/ # KAPE data, command generators, social card renderer
│ └── sigma/ # Sigma converter engine (Pyodide worker, backends, pipelines)
├── pages/ # Astro file-based routing, including /og/<slug>.png
└── styles/ # Global Tailwind styles
このサイトは Netlify にデプロイされます。2 つの GitHub Actions ワークフローがデータを最新の状態に保ちます。どちらも NETLIFY_BUILD_HOOK シークレットを必要とします。これは Netlify の Build hooks で作成し、GitHub のリポジトリシークレットに追加してください。
| ワークフロー | スケジュール | 実行内容 |
|---|---|---|
update-kapefiles.yml | 毎週 (月曜 00:00 UTC) | Netlify の再ビルドをトリガーして最新の KapeFiles サブモジュールを取得します |
update-sigma-rules.yml | 毎月 (1 日、02:00 UTC) | SigmaHQ API から Sigma ルールインデックスを再構築し、コミットして、再ビルドをトリガーします |
どちらのワークフローも workflow_dispatch で手動起動できます。
| ショートカット | アクション |
|---|---|
/ または Cmd+K | 検索を開く |
Cmd+Shift+K | Sigma 検索を開く (コンバーターページ) |
g h | ホームへ移動 |
g a | アーティファクトへ移動 |
g c | コレクションへ移動 |
g b | ビルダーへ移動 |
g s | コンバーターへ移動 |
j / k | リスト内を下 / 上へ移動 |
? | すべてのショートカットを表示 |
Astro と React、Tailwind CSS、Pagefind、Pyodide、ソーシャル画像用の Satori、そして Netlify。