DFIRHub

DFIRHub é uma referência para artefatos forenses do Windows. Ele lista os alvos do KAPE do repositório KapeFiles de Eric Zimmerman, mostra o que cada um coleta e fornece o comando para executar. Também converte regras Sigma em consultas para o seu SIEM.

O que ele faz

Você pode pesquisar artefatos por nome ou começar a partir de uma pergunta na página inicial, como "Este programa foi executado?". Cada página de artefato lista os caminhos que o KAPE coleta, adiciona notas e links para receitas do CyberChef para os dados contidos. Um painel lateral monta o comando de coleta para KAPE, PowerShell, Batch ou WSL.

As coleções agrupam artefatos relacionados, e o construtor de scripts combina vários artefatos em um único script de coleta. Links curtos abrem um artefato diretamente: /prefetch funciona para os populares, e /a/<slug> funciona para todos os artefatos.

O conversor transforma uma regra Sigma em um dos 17 backends, incluindo Splunk, Elastic, KQL, Loki e CrowdStrike. Ele executa o pySigma no navegador por meio do Pyodide. Você também pode pesquisar no repositório SigmaHQ e importar uma regra a partir dos resultados.

O site é escuro por padrão. O botão no cabeçalho também oferece um tema claro e uma configuração automática que segue o seu navegador. Cada página de artefato tem sua própria imagem de pré-visualização social, renderizada no momento da build.

Primeiros passos

Você precisa do Node 24 e do pnpm 10. Os dados do KapeFiles são um submódulo git, então inicialize-o após clonar.

git clone https://github.com/LasCC/DFIRHub.git
cd DFIRHub
git submodule update --init --recursive
pnpm install
pnpm dev

Abra http://localhost:4321.

Comandos

Comando	Descrição
pnpm dev	Inicia o servidor de desenvolvimento
pnpm build	Compila o site. Também gera uma imagem social por artefato, cerca de 90 segundos no total
pnpm preview	Serve a compilação de produção localmente
pnpm test	Executa os testes
pnpm astro check	Verifica os tipos do projeto
pnpm check	Executa lint e verifica a formatação com Ultracite
pnpm fix	Corrige problemas de lint e formatação
pnpm run sigma:index	Reconstrói o índice de regras Sigma a partir do SigmaHQ

Estrutura do projeto

src/
├── components/
│   ├── artifact/     # Artifact page: paths, command generator, CyberChef links
│   ├── artifacts/    # Category filters for the artifact list
│   ├── builder/      # Script builder
│   ├── converter/    # Sigma rule converter UI
│   ├── home/         # Landing page sections
│   ├── layout/       # Header, footer, shader background, keyboard shortcuts
│   ├── search/       # Pagefind search
│   └── ui/           # Shared UI primitives and code blocks
├── content/kapefiles # KapeFiles git submodule
├── hooks/            # Theme and clipboard hooks
├── layouts/          # Base page layout and SEO tags
├── lib/              # KAPE data, command generators, social card renderer
│   └── sigma/        # Sigma converter engine (Pyodide worker, backends, pipelines)
├── pages/            # Astro file-based routing, including /og/<slug>.png
└── styles/           # Global Tailwind styles

Implantação

O site é implantado no Netlify. Dois fluxos de trabalho do GitHub Actions mantêm os dados atualizados. Ambos precisam de um segredo NETLIFY_BUILD_HOOK, que você cria em Build hooks no Netlify e adiciona aos segredos do repositório no GitHub.

Fluxo de trabalho	Agendamento	O que faz
update-kapefiles.yml	Semanal (seg 00:00 UTC)	Dispara uma reconstrução no Netlify para buscar o submódulo KapeFiles mais recente
update-sigma-rules.yml	Mensal (dia 1, 02:00 UTC)	Reconstrói o índice de regras Sigma a partir da API do SigmaHQ, faz commit e dispara uma reconstrução

Você também pode iniciar qualquer um dos fluxos de trabalho manualmente com workflow_dispatch.

Atalhos de teclado

Atalho	Ação
/ ou Cmd+K	Abrir pesquisa
Cmd+Shift+K	Abrir pesquisa Sigma (página do conversor)
g h	Ir para a página inicial
g a	Ir para artefatos
g c	Ir para coleções
g b	Ir para o construtor
g s	Ir para o conversor
j / k	Mover para baixo / para cima em uma lista
?	Mostrar todos os atalhos

Construído com

Astro e React, Tailwind CSS, Pagefind, Pyodide, Satori para as imagens sociais, e Netlify.

Licença

MIT

Agradecimentos

• Eric Zimmerman escreveu o KAPE e mantém o KapeFiles.
• SigmaHQ mantém as regras de detecção Sigma.
• pySigma é o motor de conversão.