用途：用于安全事件响应与数字取证（DFIR），在活动事件中完成分诊、范围界定、证据采集、遏制与清除，并支持事后取证调查。
主要能力：
- 现场取证采集与内存获取，工具涉及 Velociraptor、KAPE、UAC、CatScale、winpmem、LiME、AVML。
- 内存取证分析，使用 Volatility 3 排查进程注入（malfind、hollow）、凭据窃取（LSASS、注册表 hive）及内核/eBPF rootkit（LinkPro、linux.ebpf）。
- Windows 事件日志时间线与 Sigma 狩猎，使用 Chainsaw、Hayabusa，以及 plaso 超级时间线与 Timesketch 关联。
- 反取证检测，包括时间戳篡改（$SI 与 $FN 对照、USN FILE_CREATE）、日志清除、VSS 恢复。
- 云事件响应，覆盖 AWS、Azure、GCP 身份面攻击与取证采集。
- 勒索软件与勒索响应，包括 ESXi 虚拟机管理程序加密、备份破坏与快速分诊。
- 仓库被投毒事件的事后取证（悬空提交、GH Archive、Wayback、Events API）。
- 校验可疑 DFIR 工具是否被对手用作持久化（Velociraptor CVE-2025-6264）。
使用方式：按易失性顺序操作，先内存后磁盘，不要先重启活动主机。示例命令包括：python3 scripts/triage_collector.py --os auto --out /evidence --velociraptor-collector；python3 scripts/vol3_triage.py -f /evidence/mem.raw --os windows --hunt-injection --dump-suspect；bash scripts/evtx_hunt.sh -d /evidence/C/Windows/System32/winevt/Logs -o /evidence/timeline；python3 scripts/timestomp_detect.py --mft /evidence/mft.csv --usn /evidence/usn.csv；python3 scripts/cloud_ir_collect.py aws --collect-cloudtrail --contain-key AKIA... --enforce-imdsv2；powershell -ep bypass -File scripts/ransomware_triage.ps1 -OutDir C:\IR。
适用场景：活动入侵调查、内存威胁分析、Windows 日志狩猎、反取证识别、云身份面事件、勒索与勒索软件响应、仓库供应链投毒复盘。
限制：具体效果、依赖环境与支持范围以仓库及参考文档为准，资料未提供价格、许可或平台兼容性等细节；部分检测需结合基线或 EDR 遥测，eBPF rootkit 场景下主机工具可能不可信，应带外采集内存。