DFIRHub

DFIRHub — это справочник по артефактам криминалистики Windows. Он содержит список целей KAPE из репозитория KapeFiles Эрика Циммермана, показывает, что собирает каждая из них, и предоставляет команду для запуска. Кроме того, он преобразует правила Sigma в запросы для вашего SIEM.

Что он делает

Вы можете искать артефакты по имени или начать с вопроса на главной странице, например «Запускалась ли эта программа?». Каждая страница артефакта содержит пути, которые собирает KAPE, добавляет примечания и ссылки на рецепты CyberChef для данных внутри. Боковая панель формирует команду сбора для KAPE, PowerShell, Batch или WSL.

Коллекции группируют связанные артефакты, а конструктор скриптов объединяет несколько артефактов в один скрипт коллекции. Короткие ссылки открывают артефакт напрямую: /prefetch работает для популярных, а /a/<slug> — для любого артефакта.

Конвертер преобразует правило Sigma в один из 17 бэкендов, включая Splunk, Elastic, KQL, Loki и CrowdStrike. Он запускает pySigma в браузере через Pyodide. Вы также можете искать в репозитории SigmaHQ и импортировать правило из результатов.

Сайт по умолчанию тёмный. Переключатель в шапке также предлагает светлую тему и автоматический режим, следующий за настройками браузера. Каждая страница артефакта имеет собственное изображение для соцсетей, создаваемое во время сборки.

Начало работы

Вам нужны Node 24 и pnpm 10. Данные KapeFiles — это git-сабмодуль, поэтому инициализируйте его после клонирования.

git clone https://github.com/LasCC/DFIRHub.git
cd DFIRHub
git submodule update --init --recursive
pnpm install
pnpm dev

Откройте http://localhost:4321.

Команды

Команда	Описание
pnpm dev	Запустить сервер разработки
pnpm build	Собрать сайт. Также создаёт социальное изображение для каждого артефакта, всего около 90 секунд
pnpm preview	Запустить production-сборку локально
pnpm test	Запустить тесты
pnpm astro check	Проверить типы в проекте
pnpm check	Проверить линтинг и форматирование с помощью Ultracite
pnpm fix	Исправить проблемы линтинга и форматирования
pnpm run sigma:index	Пересобрать индекс правил Sigma из SigmaHQ

Структура проекта

src/
├── components/
│   ├── artifact/     # Artifact page: paths, command generator, CyberChef links
│   ├── artifacts/    # Category filters for the artifact list
│   ├── builder/      # Script builder
│   ├── converter/    # Sigma rule converter UI
│   ├── home/         # Landing page sections
│   ├── layout/       # Header, footer, shader background, keyboard shortcuts
│   ├── search/       # Pagefind search
│   └── ui/           # Shared UI primitives and code blocks
├── content/kapefiles # KapeFiles git submodule
├── hooks/            # Theme and clipboard hooks
├── layouts/          # Base page layout and SEO tags
├── lib/              # KAPE data, command generators, social card renderer
│   └── sigma/        # Sigma converter engine (Pyodide worker, backends, pipelines)
├── pages/            # Astro file-based routing, including /og/<slug>.png
└── styles/           # Global Tailwind styles

Развёртывание

Сайт развёртывается на Netlify. Два рабочих процесса GitHub Actions поддерживают актуальность данных. Обоим требуется секрет NETLIFY_BUILD_HOOK, который вы создаёте в разделе Build hooks в Netlify и добавляете в секреты репозитория в GitHub.

Рабочий процесс	Расписание	Что делает
update-kapefiles.yml	Еженедельно (Пн 00:00 UTC)	Запускает пересборку Netlify для получения последней версии сабмодуля KapeFiles
update-sigma-rules.yml	Ежемесячно (1-го числа, 02:00 UTC)	Пересобирает индекс правил Sigma из API SigmaHQ, коммитит его и запускает пересборку

Вы также можете запустить любой из рабочих процессов вручную с помощью workflow_dispatch.

Горячие клавиши

Сочетание клавиш	Действие
/ или Cmd+K	Открыть поиск
Cmd+Shift+K	Открыть поиск Sigma (страница конвертера)
g h	Перейти на главную
g a	Перейти к артефактам
g c	Перейти к коллекциям
g b	Перейти к конструктору
g s	Перейти к конвертеру
j / k	Переместиться вниз / вверх по списку
?	Показать все сочетания клавиш

Создано с помощью

Astro и React, Tailwind CSS, Pagefind, Pyodide, Satori для социальных изображений и Netlify.

Лицензия

MIT

Благодарности

• Eric Zimmerman написал KAPE и поддерживает KapeFiles.
• SigmaHQ поддерживает правила обнаружения Sigma.
• pySigma — это движок конвертации.