DFIRHub 是 Windows 取证痕迹的参考指南。它列出了来自 Eric Zimmerman 的 KapeFiles 仓库的 KAPE 目标，展示每个目标收集的内容，并给出运行命令。它还能将 Sigma 规则转换为适用于你的 SIEM 的查询。
你可以按名称搜索痕迹，或从首页的问题入手，例如“这个程序运行过吗？”。每个痕迹页面列出 KAPE 收集的路径，添加注释，并链接到针对其中数据的 CyberChef 配方。侧边面板可为 KAPE、PowerShell、Batch 或 WSL 构建收集命令。
集合将相关痕迹分组，脚本构建器可将多个痕迹组合成一个收集脚本。短链接可直接打开某个痕迹：/prefetch 适用于热门痕迹，/a/<slug> 适用于所有痕迹。
转换器可将 Sigma 规则转换为 17 种后端之一，包括 Splunk、Elastic、KQL、Loki 和 CrowdStrike。它通过 Pyodide 在浏览器中运行 pySigma。你还可以搜索 SigmaHQ 仓库并从结果中导入规则。
网站默认使用深色主题。页眉开关还提供浅色主题和跟随浏览器的自动设置。每个痕迹页面都有其专属的社交预览图，在构建时渲染生成。
你需要 Node 24 和 pnpm 10。KapeFiles 数据是一个 git 子模块，因此请在克隆后初始化它。
git clone https://github.com/LasCC/DFIRHub.git
cd DFIRHub
git submodule update --init --recursive
pnpm install
pnpm dev
打开 http://localhost:4321。
| 命令 | 描述 |
|---|---|
pnpm dev | 启动开发服务器 |
pnpm build | 构建站点。它还会为每个 artifact 渲染一张社交图片，总共约 90 秒 |
pnpm preview | 在本地提供生产构建 |
pnpm test | 运行测试 |
pnpm astro check | 对项目进行类型检查 |
pnpm check | 使用 Ultracite 进行 lint 和格式检查 |
pnpm fix | 修复 lint 和格式问题 |
pnpm run sigma:index | 从 SigmaHQ 重建 Sigma 规则索引 |
src/
├── components/
│ ├── artifact/ # Artifact page: paths, command generator, CyberChef links
│ ├── artifacts/ # Category filters for the artifact list
│ ├── builder/ # Script builder
│ ├── converter/ # Sigma rule converter UI
│ ├── home/ # Landing page sections
│ ├── layout/ # Header, footer, shader background, keyboard shortcuts
│ ├── search/ # Pagefind search
│ └── ui/ # Shared UI primitives and code blocks
├── content/kapefiles # KapeFiles git submodule
├── hooks/ # Theme and clipboard hooks
├── layouts/ # Base page layout and SEO tags
├── lib/ # KAPE data, command generators, social card renderer
│ └── sigma/ # Sigma converter engine (Pyodide worker, backends, pipelines)
├── pages/ # Astro file-based routing, including /og/<slug>.png
└── styles/ # Global Tailwind styles
站点部署到 Netlify。两个 GitHub Actions 工作流用于保持数据最新。两者都需要一个 NETLIFY_BUILD_HOOK 密钥，你需要在 Netlify 的 Build hooks 中创建它，并将其添加到 GitHub 的仓库密钥中。
| 工作流 | 计划 | 作用 |
|---|---|---|
update-kapefiles.yml | 每周（周一 00:00 UTC） | 触发 Netlify 重新构建，以拉取最新的 KapeFiles 子模块 |
update-sigma-rules.yml | 每月（1 日 02:00 UTC） | 从 SigmaHQ API 重建 Sigma 规则索引，提交该索引，并触发重新构建 |
你也可以通过 workflow_dispatch 手动启动任一工作流。
| 快捷键 | 操作 |
|---|---|
/ 或 Cmd+K | 打开搜索 |
Cmd+Shift+K | 打开 Sigma 搜索（转换器页面） |
g h | 转到首页 |
g a | 转到 artifacts |
g c | 转到 collections |
g b | 转到 builder |
g s | 转到 converter |
j / k | 在列表中向下 / 向上移动 |
? | 显示所有快捷键 |
Astro 和 React、Tailwind CSS、Pagefind、Pyodide、用于社交图片的 Satori，以及 Netlify。