karim852/kage-dfir-toolkitConsole de triagem DFIR para hosts Windows que encadeia coleta de artefatos, linhas do tempo correlacionadas com Sigma, varreduras YARA, inspeção de sockets e contas, enriquecimento de indicadores e uma pontuação de risco calibrada.
Aponte o Kage para um host Windows suspeito e ele executa toda a triagem em uma única cadeia: o CyLR coleta os artefatos, o Hayabusa correlaciona os logs de eventos com o Sigma, o THOR Lite procura correspondências YARA, o VirusTotal e o AbuseIPDB qualificam os indicadores, e o provedor de IA da sua escolha redige o relatório. Cada etapa é transmitida ao vivo, sela o que produziu e pode ser reproduzida isoladamente.
pip install -r requirements.txt
python -m dfirconsole # → http://127.0.0.1:8787
A visão geral: onze etapas seladas à esquerda, o log de execução
em streaming e a pontuação dividida em seus quatro componentes.
| SO | Windows 10 / 11 ou Windows Server |
| Python | 3.10+ de python.org, instalado para todos os usuários |
| Permissões | Administrador |
| Disco | alguns GB livres para a coleta |
# 1. Extract Kage anywhere — Desktop, C:\Kage, a USB stick, it does not matter
cd C:\Kage
# 2. Install the dependencies
pip install -r requirements.txt
# 3. Check the environment before touching a host
python preflight.py
preflight.py informa o que está pronto e o que está faltando.
Workspace : C:\Kage
System : Windows 11
Python : 3.12.3
Dependencies
[ok] module fastapi
[ok] module uvicorn
[ok] module httpx
Rights and disk space
[ok] console running as administrator
[ok] free space: 84.2 GB
Tooling
[!] CyLR in C:\Kage\tools\cylr
→ the "Locate the tooling" step downloads it
[!] THOR Lite
→ optional step — it will simply be skipped
python -m dfirconsole
Ou clique com o botão direito em launch.bat → Executar como administrador, o que trata do
virtualenv, da instalação e abre o navegador por você.
Kage DFIR Toolkit 1.5.0
code C:\Kage\dfirconsole
workspace C:\Kage
open http://127.0.0.1:8787
O workspace é onde você o iniciou. Nada para configurar. Ferramentas, evidências e saída ficam todas ao lado do console.
python -m dfirconsole --demo
O modo de demonstração constrói uma intrusão sintética — anexo malicioso, PowerShell codificado, Defender desativado, roubo de credenciais, persistência, C2, cópias de sombra eliminadas — e executa toda a cadeia sobre ela. Nada na sua máquina é tocado. A melhor forma de aprender a interface antes de um incidente real.
Inicie como administrador, abra http://127.0.0.1:8787 e verifique se a barra de estado indica live run · Windows e não demonstration mode.
Clique em Settings:
| Campo | Exemplo | Porque é importante |
|---|---|---|
| Referência do caso | INC-2026-0042 | dá nome ao relatório, ao log e ao arquivo |
| Analista | N. Delaunay | aparece no cabeçalho do relatório |
Deixe Workspace folder vazio — ele deteta a pasta de lançamento por si. Clique em Save.
A coluna da esquerda é a cadeia de custódia. Cada passo tem uma caixa de seleção; todas estão marcadas por predefinição exceto a análise YARA.
Para uma primeira execução, desmarque tudo exceto:
☑ Prepare the workspace
☑ Exclude the folder from Defender
☑ Locate the tooling
☑ Update the Sigma rules
Clique em Run 4 steps. Cerca de um minuto. Isto descarrega o CyLR e o Hayabusa e confirma que a sua elevação realmente funciona antes de começar qualquer coisa longa.
Assim que esses quatro estiverem selados, marque o resto:
☑ Collect the artefacts CyLR — a few minutes, several GB
☑ Capture the system context accounts, sockets, disk root, log coverage
☑ Build the timeline Hayabusa correlates against Sigma
☑ Analyse the timeline score, alert families, indicators
Clique em Run e acompanhe o fluxo do log de execução. Cada etapa concluída recebe um selo — um SHA-256 que você pode verificar depois.
| Onde | O que você obtém |
|---|---|
| Overview | pontuação de risco com seus quatro componentes, alertas por família |
| Alerts | todos os alertas, filtráveis por severidade e família |
| System | contas, sockets vinculados a processos, pastas incomuns, cobertura de logs |
| Indicators | hashes, IPs e domínios extraídos da linha do tempo |
Clique em qualquer linha da tabela para abrir o painel de leitura: todos os campos, a linha de comando
completa, todos os dados brutos. ← → para navegar entre itens, Esc para fechar.
Com as chaves de API configuradas:
☑ Enrich the indicators VirusTotal + AbuseIPDB reputation
☑ Write the summary the AI drafts the report
Sem chaves, ambos são marcados como ignorados e um relatório local é produzido em vez disso — mesma estrutura, sem chamada de rede.
No canto superior direito do painel:
💡 Reproduzir um único passo: faça duplo clique na sua etiqueta na coluna da esquerda. Útil quando o Hayabusa falha mas a recolha está bem — sem necessidade de recolher duas vezes.