KAPE ile Hızlı DFIR Triyajı (Tek/Birkaç Uç Nokta)
Velociraptor ajanı bulunmayan veya fiziksel/uzak erişimin mevcut olduğu birkaç uç noktada KAPE `!SANS_Triage` hedefiyle hızlı artefakt toplama, hash doğrulama ve triyaj analizi.
Prepare
5 adım- KAPE hazırlığı
Güncel KAPE sürümünü USB veya ağ paylaşımında tut; `Targets/` ve `Modules/` dizinlerini EricZimmerman/KapeFiles GitHub deposuyla senkronize et ve `gkape.exe` ile test et
- Zimmerman Tools güncellemesi
`Get-ZimmermanTools.ps1 -NetVersion 6` ile MFTECmd, PECmd, JLECmd, RECmd, AppCompatCacheParser ve SrumECmd araçlarını güncel tut
- Depolama hazırlığı
Triyaj çıktıları için exFAT formatlı harici USB veya yazılabilir ağ paylaşımı hazırla; hedef sistemin boş alanına kesinlikle yazma
- Zaman senkronizasyonu
Tüm sistemlerin NTP ile UTC'ye senkron olduğunu doğrula; fark 5 dakikayı aşıyorsa olay kaydına not al
- Eskalasyon kararı
Etkilenen uç nokta sayısı 4+, aktif ihlal şüphesi veya domain compromise varsa bu playbook yerine Velociraptor Hunt Playbook'una (PB-B) geç