KAGE — DFIR Toolkit

Наведите Kage на подозрительный Windows-хост — и он выполнит всю триаж-обработку одной цепочкой: CyLR собирает артефакты, Hayabusa сопоставляет журналы событий с правилами Sigma, THOR Lite ищет совпадения по YARA, VirusTotal и AbuseIPDB квалифицируют индикаторы, а выбранный вами AI-провайдер составляет черновик отчёта. Каждый этап транслируется в реальном времени, запечатывает свои результаты и может быть воспроизведён отдельно.```bash pip install -r requirements.txt python -m dfirconsole # → http://127.0.0.1:8787

<p align="center">
  <img src="https://assets.kitploit.com/production/public/readmes/55114/7d59d87cd6f41f9d8dc66e4da743e6c6728a7156a06f9de9bdc18cdfd1fbb5cd/de22d9f23b6327fc806bbd1febb370cdca42f33eff3718eca9a0864eeb7d87e2-display-v1.webp" alt="Kage overview" width="100%">
  <br><sub>Обзор: одиннадцать закрытых шагов слева, поток журнала
  выполнения и оценка, разбитая на четыре компонента.</sub>
</p>

---

## 📑 Содержание

- [Установка](#-installation)
- [Запуск первого сканирования](#-running-your-first-scan)
- [Добавление THOR Lite вручную](#-adding-thor-lite-manually)
- [Цепочка](#-the-chain)
- [Оценка риска](#-risk-score)
- [Оповещения](#-alerts)
- [Системный контекст](#-system-context)
- [Журналирование и аудит](#-logging--audit)
- [YARA](#-yara)
- [Печати](#-seals)
- [Представления](#-views)
- [Конфигурация](#-configuration)
- [Справочник CLI](#-cli-reference)
- [Устранение неполадок](#-troubleshooting)
- [Версия для Linux](#-linux-version--in-progress)
- [Благодарности](#-credits)

---

## 📦 Установка

### Требования

| | |
|---|---|
| ОС | Windows 10 / 11 или Windows Server |
| Python | 3.10+ с [python.org](https://www.python.org/downloads/), **установленный для всех пользователей** |
| Права | **Администратор**  |
| Диск | несколько ГБ свободного места для коллекции |


### Установка```powershell
# 1. Extract Kage anywhere — Desktop, C:\Kage, a USB stick, it does not matter
cd C:\Kage

# 2. Install the dependencies
pip install -r requirements.txt

# 3. Check the environment before touching a host
python preflight.py

Без ключей оба помечаются как *пропущенные*, и вместо этого создаётся **локальный отчёт** — та же структура, без сетевого вызова. ### Шаг 7 — Экспорт В правом верхнем углу панели управления: - **Report** — HTML для печати, тринадцать нумерованных разделов, готов к экспорту в PDF - **JSON** — полное состояние, включая печати - **Log** — всё, что вывела консоль > 💡 **Повторный запуск отдельного шага:** дважды щёлкните по его тегу в левой колонке. Полезно, > когда Hayabusa завершается с ошибкой, но сбор данных прошёл успешно — не нужно собирать дважды. --- ## 🔦 Добавление THOR Lite вручную Сканирование YARA — единственный шаг, который Kage **не может** настроить за вас. Nextron требует регистрации, поэтому бинарный файл нельзя загрузить скриптом. CyLR и Hayabusa загружаются сами; THOR — нет. ### 1. Получите архив Зарегистрируйтесь и скачайте по адресу [nextron-systems.com/thor-lite](https://www.nextron-systems.com/thor-lite/). Вы получите сканер **и файл лицензии** (`.lic`) — обычно по электронной почте. ### 2. Поместите его в `tools\thor\` Kage уже создал эту папку при первом запуске. Скопируйте в неё содержимое архива, **сохраняя всё вместе**:``` C:\Kage\ └── tools\ └── thor\ ← everything goes here ├── thor64-lite.exe the scanner ├── yourname.lic the licence — THOR will not start without it ├── config\ from the archive ├── signatures\ from the archive — the YARA rules themselves └── custom-signatures\ from the archive

def __init__(self, target, port, timeout=10, concurrency=100): self.target = target self.port = port self.timeout = timeout self.concurrency = concurrency self.results = [] self.lock = threading.Lock() self.stop_event = threading.Event() self.attempts = 0 self.successes = 0 self.start_time = None self.end_time = None self.credentials = [] self.valid_credentials = [] self.errors = [] self.stats = {} self.config = {} self.logger = None self.verbose = False self.debug = False self.quiet = False self.output_file = None self.input_file = None self.username = None self.password = None self.username_file = None self.password_file = None self.combo_file = None self.protocol = None self.service = None self.threads = [] self.queue = queue.Queue() self.session = None self.proxy = None self.user_agent = None self.headers = {} self.cookies = {} self.retries = 3 self.delay = 0 self.jitter = 0 self.follow_redirects = True self.verify_ssl = False self.max_redirects = 5 self.rate_limit = None self.rate_limit_window = 60 self.rate_limit_count = 0 self.rate_limit_start = None self.rate_limit_lock = threading.Lock() self.rate_limit_event = threading.Event() self.rate_limit_thread = None self.rate_limit_running = False self.rate_limit_stop = threading.Event() self.rate_limit_queue = queue.Queue() self.rate_limit_results = [] self.rate_limit_errors = [] self.rate_limit_stats = {} self.rate_limit_config = {} self.rate_limit_logger = None self.rate_limit_verbose = False self.rate_limit_debug = False self.rate_limit_quiet = False self.rate_limit_output_file = None self.rate_limit_input_file = None self.rate_limit_username = None self.rate_limit_password = None self.rate_limit_username_file = None self.rate_limit_password_file = None self.rate_limit_combo_file = None self.rate_limit_protocol = None self.rate_limit_service = None self.rate_limit_threads = [] self.rate_limit_queue = queue.Queue() self.rate_limit_session = None self.rate_limit_proxy = None self.rate_limit_user_agent = None self.rate_limit_headers = {} self.rate_limit_cookies = {} self.rate_limit_retries = 3 self.rate_limit_delay = 0 self.rate_limit_jitter = 0 self.rate_limit_follow_redirects = True self.rate_limit_verify_ssl = False self.rate_limit_max_redirects = 5 self.rate_limit_rate_limit = None self.rate_limit_rate_limit_window = 60 self.rate_limit_rate_limit_count = 0 self.rate_limit_rate_limit_start = None self.rate_limit_rate_limit_lock = threading.Lock() self.rate_limit_rate_limit_event = threading.Event() self.rate_limit_rate_limit_thread = None self.rate_limit_rate_limit_running = False self.rate_limit_rate_limit_stop = threading.Event() self.rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_results = [] self.rate_limit_rate_limit_errors = [] self.rate_limit_rate_limit_stats = {} self.rate_limit_rate_limit_config = {} self.rate_limit_rate_limit_logger = None self.rate_limit_rate_limit_verbose = False self.rate_limit_rate_limit_debug = False self.rate_limit_rate_limit_quiet = False self.rate_limit_rate_limit_output_file = None self.rate_limit_rate_limit_input_file = None self.rate_limit_rate_limit_username = None self.rate_limit_rate_limit_password = None self.rate_limit_rate_limit_username_file = None self.rate_limit_rate_limit_password_file = None self.rate_limit_rate_limit_combo_file = None self.rate_limit_rate_limit_protocol = None self.rate_limit_rate_limit_service = None self.rate_limit_rate_limit_threads = [] self.rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_session = None self.rate_limit_rate_limit_proxy = None self.rate_limit_rate_limit_user_agent = None self.rate_limit_rate_limit_headers = {} self.rate_limit_rate_limit_cookies = {} self.rate_limit_rate_limit_retries = 3 self.rate_limit_rate_limit_delay = 0 self.rate_limit_rate_limit_jitter = 0 self.rate_limit_rate_limit_follow_redirects = True self.rate_limit_rate_limit_verify_ssl = False self.rate_limit_rate_limit_max_redirects = 5 self.rate_limit_rate_limit_rate_limit = None self.rate_limit_rate_limit_rate_limit_window = 60 self.rate_limit_rate_limit_rate_limit_count = 0 self.rate_limit_rate_limit_rate_limit_start = None self.rate_limit_rate_limit_rate_limit_lock = threading.Lock() self.rate_limit_rate_limit_rate_limit_event = threading.Event() self.rate_limit_rate_limit_rate_limit_thread = None self.rate_limit_rate_limit_rate_limit_running = False self.rate_limit_rate_limit_rate_limit_stop = threading.Event() self.rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_results = [] self.rate_limit_rate_limit_rate_limit_errors = [] self.rate_limit_rate_limit_rate_limit_stats = {} self.rate_limit_rate_limit_rate_limit_config = {} self.rate_limit_rate_limit_rate_limit_logger = None self.rate_limit_rate_limit_rate_limit_verbose = False self.rate_limit_rate_limit_rate_limit_debug = False self.rate_limit_rate_limit_rate_limit_quiet = False self.rate_limit_rate_limit_rate_limit_output_file = None self.rate_limit_rate_limit_rate_limit_input_file = None self.rate_limit_rate_limit_rate_limit_username = None self.rate_limit_rate_limit_rate_limit_password = None self.rate_limit_rate_limit_rate_limit_username_file = None self.rate_limit_rate_limit_rate_limit_password_file = None self.rate_limit_rate_limit_rate_limit_combo_file = None self.rate_limit_rate_limit_rate_limit_protocol = None self.rate_limit_rate_limit_rate_limit_service = None self.rate_limit_rate_limit_rate_limit_threads = [] self.rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_session = None self.rate_limit_rate_limit_rate_limit_proxy = None self.rate_limit_rate_limit_rate_limit_user_agent = None self.rate_limit_rate_limit_rate_limit_headers = {} self.rate_limit_rate_limit_rate_limit_cookies = {} self.rate_limit_rate_limit_rate_limit_retries = 3 self.rate_limit_rate_limit_rate_limit_delay = 0 self.rate_limit_rate_limit_rate_limit_jitter = 0 self.rate_limit_rate_limit_rate_limit_follow_redirects = True self.rate_limit_rate_limit_rate_limit_verify_ssl = False self.rate_limit_rate_limit_rate_limit_max_redirects = 5 self.rate_limit_rate_limit_rate_limit_rate_limit = None self.rate_limit_rate_limit_rate_limit_rate_limit_window = 60 self.rate_limit_rate_limit_rate_limit_rate_limit_count = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_start = None self.rate_limit_rate_limit_rate_limit_rate_limit_lock = threading.Lock() self.rate_limit_rate_limit_rate_limit_rate_limit_event = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_thread = None self.rate_limit_rate_limit_rate_limit_rate_limit_running = False self.rate_limit_rate_limit_rate_limit_rate_limit_stop = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_results = [] self.rate_limit_rate_limit_rate_limit_rate_limit_errors = [] self.rate_limit_rate_limit_rate_limit_rate_limit_stats = {} self.rate_limit_rate_limit_rate_limit_rate_limit_config = {} self.rate_limit_rate_limit_rate_limit_rate_limit_logger = None self.rate_limit_rate_limit_rate_limit_rate_limit_verbose = False self.rate_limit_rate_limit_rate_limit_rate_limit_debug = False self.rate_limit_rate_limit_rate_limit_rate_limit_quiet = False self.rate_limit_rate_limit_rate_limit_rate_limit_output_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_input_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_username = None self.rate_limit_rate_limit_rate_limit_rate_limit_password = None self.rate_limit_rate_limit_rate_limit_rate_limit_username_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_password_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_combo_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_protocol = None self.rate_limit_rate_limit_rate_limit_rate_limit_service = None self.rate_limit_rate_limit_rate_limit_rate_limit_threads = [] self.rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_session = None self.rate_limit_rate_limit_rate_limit_rate_limit_proxy = None self.rate_limit_rate_limit_rate_limit_rate_limit_user_agent = None self.rate_limit_rate_limit_rate_limit_rate_limit_headers = {} self.rate_limit_rate_limit_rate_limit_rate_limit_cookies = {} self.rate_limit_rate_limit_rate_limit_rate_limit_retries = 3 self.rate_limit_rate_limit_rate_limit_rate_limit_delay = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_jitter = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_follow_redirects = True self.rate_limit_rate_limit_rate_limit_rate_limit_verify_ssl = False self.rate_limit_rate_limit_rate_limit_rate_limit_max_redirects = 5 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_window = 60 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_count = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_start = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_lock = threading.Lock() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_event = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_thread = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_running = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_stop = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_results = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_errors = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_stats = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_config = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_logger = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_verbose = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_debug = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_quiet = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_output_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_input_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_username = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_password = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_username_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_password_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_combo_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_protocol = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_service = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_threads = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_session = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_proxy = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_user_agent = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_headers = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_cookies = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_retries = 3 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_delay = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_jitter = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_follow_redirects = True self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_verify_ssl = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_max_redirects = 5 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_window = 60 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_count = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_start = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_lock = threading.Lock() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_event = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_thread = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_running = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_stop = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_results = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_errors = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_stats = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_config = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_logger = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_verbose = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_debug = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_quiet = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_output_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_input_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_username = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_password = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_username_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_password_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_combo_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_protocol = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_service = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_threads = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_session = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_proxy = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_user_agent = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_headers = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_cookies = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_retries = 3 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_delay = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_jitter = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_follow_redirects = True self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_verify_ssl = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_max_redirects = 5 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_window = 60 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_count = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_start = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_lock = threading.Lock() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_event = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_thread = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_running = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_stop = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_results = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_errors = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_stats = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_config = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_logger = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_verbose = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_debug = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_quiet = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_output_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_input_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_username = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_password = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_username_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_password_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_combo_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_protocol = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_service = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_threads = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_session = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_proxy = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_user_agent = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_headers = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_cookies = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_retries = 3 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_delay = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_jitter = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_follow_redirects = True self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_verify_ssl = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_max_redirects = 5 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_window = 60 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_count = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_start = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_lock = threading.Lock() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_event = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_thread = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_running = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_stop = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_results = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_errors = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_stats = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_config = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_logger = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_verbose = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_debug = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_quiet = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_output_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_input_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_username = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_password = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_username_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_password_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_combo_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_protocol = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_service = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_threads = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_session = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_proxy = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_user_agent = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_headers = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_cookies = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_retries = 3 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_delay = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_jitter = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_follow_redirects = True self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_verify_ssl = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_max_redirects = 5 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_window = 60 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_count = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_start = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_lock = threading.Lock() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_event = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_thread = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_running = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_stop = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_results = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_errors = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_stats = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_config = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_logger = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_verbose = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_debug = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_quiet = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_output_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_input_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_username = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_password = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_username_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_password_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_combo_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_protocol = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_service = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_threads = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_session = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_proxy = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_user_agent = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_headers = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_cookies = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_retries = 3 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_delay = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_jitter = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_follow_redirects = True self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_verify_ssl = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_max_redirects = 5 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_window = 60 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_count = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_start = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_lock = threading.Lock() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_event = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_thread = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_running = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_stop = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_results = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_errors = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_stats = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_config = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_logger = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_verbose = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_debug = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_quiet = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_output_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_input_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_username = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_password = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_username_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_password_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_combo_file = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_protocol = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_service = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_threads = [] self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_queue = queue.Queue() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_session = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_proxy = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_user_agent = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_headers = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_cookies = {} self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_retries = 3 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_delay = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_jitter = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_follow_redirects = True self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_verify_ssl = False self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_max_redirects = 5 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_window = 60 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_count = 0 self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_start = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_lock = threading.Lock() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_event = threading.Event() self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_thread = None self.rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_rate_limit_running = False self.``` Tooling [ok] CyLR in C:\Kage\tools\cylr [ok] Hayabusa in C:\Kage\tools\hayabusa [ok] THOR Lite: C:\Kage\tools\thor\thor64-lite.exe [ok] THOR licence file (*.lic)

Четыре независимые оси, **каждая с ограничением**. Именно это не даёт одному шумному правилу, сработавшему триста раз, привести к тому же вердикту, что и настоящая многоэтапная атака. **Уверенность отделена от серьёзности.** Она подсчитывает, сколько независимых источников согласны и было ли достаточно покрытие логированием — поэтому высокий балл, построенный только на Sigma, читается как сильная зацепка, но никогда как подтверждение: | Балл | Высокая уверенность | Низкая уверенность | |---|---|---| | ≥ 70 | Компрометация подтверждена несколькими источниками | Компрометация весьма вероятна — подтверждение всё ещё ограничено | | ≥ 45 | Вероятная компрометация — рекомендуется локализация | Сильные признаки из одного источника | | ≥ 25 | Подозрительная активность, требующая уточнения | | | ≥ 10 | Слабые сигналы, компрометация не установлена | | | < 10 | Ничего убедительного | | Пересчитывается каждый раз, когда поступает новый источник — после таймлайна, после YARA, после обогащения. --- ## 🚨 Оповещения ![Alerts](https://assets.kitploit.com/production/public/readmes/55114/d19170d40fbc067895076dae191e58985112945deaef8f42d385428daa22a0a0/bce6f5e2cee4a7f14625c3f38a349836b7fcee87096c90388f159970fd6fb805-display-v1.webp) Серьёзность говорит, насколько срочно. Семейства говорят, какого рода.``` FAMILIES AUTHENTICATION 4 INFECTION 1 EXECUTION 6 NETWORK 5 EVASION 5 OTHER 0 TIMESTAMP LEVEL FAMILY RULE ID 09/09 10:26 CRITICAL EVASION Windows Defender Disabled 5001 09/09 11:09 CRITICAL EVASION Volume Shadow Copies Deleted 4688 09/09 11:15 CRITICAL EVASION Security Event Log Cleared 1102 09/09 10:32 CRITICAL AUTH LSASS Memory Access 10

Для работы браузера требуются `pip install playwright && playwright install chromium`. --- ## 🔧 Устранение неполадок **"Требуются права администратора" / Defender отказывает в исключении** Kage не запущен с повышенными правами. Закройте его, щёлкните правой кнопкой по `launch.bat` → *Запуск от имени администратора*, или сначала откройте PowerShell от имени администратора. **`did not find executable … python.exe`** Ваш Python установлен из Microsoft Store, который устанавливает его для каждого пользователя отдельно, и он исчезает в сеансе администратора. Переустановите с python.org, *для всех пользователей*. **CyLR не создал архив / коллекция пуста** Добавьте `--force-native` в **Settings → CyLR arguments**. Это отключает прямое чтение NTFS в пользу Windows API, что работает, когда определение разделов на диске даёт сбой. **THOR запускается, а затем замолкает** Его лицензия отсутствует или истекла, либо `signatures\` не был скопирован рядом с бинарным файлом. Запустите `preflight.py`, чтобы убедиться. --- ## 🐧 Версия для Linux — в разработке Цепочка триажа для Linux строится на той же консоли, с теми же представлениями и той же моделью оценки. Парсеры уже платформо-независимы; меняется слой доказательств: | Windows | Linux (в разработке) | |---|---| | Сбор через CyLR | Сбор через UAC / CyLR Linux | | EVTX + Hayabusa Sigma | `journald` / `auth.log` / `syslog` + Sigma | | `Get-LocalUser` · `auditpol` | `/etc/passwd` · `/etc/shadow` · правила `auditd` | | `netstat -ano` + `tasklist` | `ss -tunap` | | Аномалии в корне диска | `/tmp` · `/dev/shm` · `/var/tmp` · cron · юниты systemd | | THOR Lite | THOR Lite для Linux | Поставьте звезду или подпишитесь на репозиторий, чтобы не пропустить релиз. --- ## 🙏 Благодарности Kage — это консоль, а не сборщик или сканер. Основная работа принадлежит этим проектам, и они заслуживают звезды гораздо больше, чем этот репозиторий: | Инструмент | Репозиторий | Роль в цепочке | |---|---|---| | **CyLR** | [orlikoski/CyLR](https://github.com/orlikoski/CyLR) | сбор артефактов в реальном времени через прямое чтение NTFS | | **Hayabusa** | [Yamato-Security/hayabusa](https://github.com/Yamato-Security/hayabusa) | корреляция Sigma, построение таймлайна | | **Sigma** | [SigmaHQ/sigma](https://github.com/SigmaHQ/sigma) | правила обнаружения, лежащие в основе каждого оповещения | | **THOR Lite** | [NextronSystems/thor-lite](https://github.com/NextronSystems/thor-lite) | сканирование YARA и IOC | | **VirusTotal** | [virustotal.com](https://www.virustotal.com) | репутация хешей, IP и доменов | | **AbuseIPDB** | [abuseipdb.com](https://www.abuseipdb.com) | оценка злоупотреблений по IP | | **MITRE ATT&CK** | [attack.mitre.org](https://attack.mitre.org) | фреймворк тактик, лежащий в основе оси kill-chain | Уважайте лицензии и условия использования каждого проекта — THOR Lite в особенности требует регистрации у Nextron и не подлежит распространению. --- ## 🌐 Экосистема | | Инструмент | Домен | |---|---|---| | ☁️ | [**Kumo** 蜘蛛](https://github.com/karim852/KUMO-Domain-Recon-Tool) | OSINT и разведка доменов | | 🌑 | **Kage** 影 | триаж хостов в DFIR | --- > ⚠️ **Только для авторизованного реагирования на инциденты.** > Запускайте Kage только на хостах, которыми вы владеете или на явный письменный осмотр которых у вас есть разрешение. <p align="center"><sub>Создано для тех, кто приходит после. 影</sub></p>

Поле	Пример	Почему это важно
Case reference	`INC-2026-0042`	задаёт имя отчёта, журнала и архива
Analyst	`N. Delaunay`	отображается в шапке отчёта

Где	Что вы получаете
Overview	оценка риска с её четырьмя компонентами, оповещения по семействам
Alerts	каждое оповещение с фильтрацией по серьёзности и семейству
System	учётные записи, сокеты, привязанные к процессам, подозрительные папки, покрытие журналов
Indicators	хеши, IP-адреса и домены, извлечённые из таймлайна

Значение	Что сканируется	Время
(пусто)	артефакты, только что собранные CyLR	минуты
`C:\Users\target`	один профиль пользователя	минуты
`C:\`	весь системный том	часы

#	Шаг	Что фактически выполняется
01	Подготовка рабочей области	дерево папок, проверка прав и свободного места
02	Исключение из Defender	`Add-MpPreference -ExclusionPath <workspace>`
03	Поиск инструментов	находит и загружает CyLR + Hayabusa из релизов GitHub
04	Сбор артефактов	`CyLR.exe -od evidence\ -of <case>.zip -v`
05	Захват контекста системы	`systeminfo` · `Get-LocalUser` · `netstat -ano` · `tasklist` · `auditpol`
06	Обновление правил Sigma	`hayabusa update-rules`
07	Построение таймлайна	`hayabusa <csv\|dfir>-timeline -d <Logs> -o hayabusa-output.csv -r <rules>`
08	Анализ таймлайна	оценка, семейства оповещений, извлечение индикаторов
09	Сканирование YARA (опционально)	`thor64-lite.exe --nocsv -p <chosen folder>`
10	Обогащение индикаторов	VirusTotal v3 · AbuseIPDB v2
11	Написание сводки	ваш AI-провайдер или локальный отчёт

Адрес	Содержимое
`/`	конвейер, журнал выполнения, разбивка по семействам
`/alerts`	оповещения по критичности и семейству
`/indicators`	индикаторы с репутацией VirusTotal / AbuseIPDB
`/system`	машина, учётные записи, сеть, корень диска, покрытие
`/yara`	вердикты THOR, в реальном времени во время сканирования
`/attack`	выведенные тактики ATT&CK
`/summary`	письменный отчёт
`/log`	полный журнал, доступный для скачивания

Популярное

Kage-DFIR-toolkit

🚀 Запуск первого сканирования

Шаг 1 — Откройте консоль

Шаг 2 — Назовите дело

Шаг 3 — Разомнитесь перед фиксацией

Шаг 5 — Чтение результатов

Шаг 6 — Обогащение и вывод (необязательно)

4. Выбор области сканирования — это решает всё

🔗 Цепочка

🎯 Оценка риска

🖥️ Системный контекст

🔬 YARA

🧭 Представления

Выполнение в реальном времени

Индикаторы

Тактики ATT&CK

Панель чтения

Письменное резюме

Настройки

Журнал выполнения

📄 Отчёт

Вердикт и оценка

Находки и локализация

Пробелы в доказательствах и цепочка сохранности

⚙️ Конфигурация

Структура инструментов

Ссылки

Лицензия

Благодарности

apikeys.env — sits next to launch.bat

Провайдеры сводок

📟 Справочник по CLI```

Провайдер	Эндпоинт	Модель по умолчанию
Anthropic	`api.anthropic.com`	`claude-sonnet-4-6`
OpenAI	`api.openai.com/v1`	`gpt-4o`
Groq	`api.groq.com/openai/v1`	`llama-3.3-70b-versatile`
Mistral	`api.mistral.ai/v1`	`mistral-large-latest`
OpenRouter	`openrouter.ai/api/v1`	`anthropic/claude-sonnet-4`
Ollama	`localhost:11434/v1`	`llama3.1` — без ключа
None	—	локальный отчёт