用途：用于数字取证与事件响应（DFIR）的初步分类（triage），覆盖磁盘、内存、网络、云和终端痕迹，帮助从多来源证据中快速还原事件经过。
主要能力：
- 证据保全：处理前后计算哈希，记录获取方式、取证人员与时区（建议 UTC）；在副本上操作，镜像只读挂载，记录每个工具、版本与参数。
- 采集：KAPE 目标、Velociraptor 工件、通过 winpmem/avml 获取内存、通过云厂商导出获取云日志。
- 解析：plaso/log2timeline 生成超级时间线；chainsaw/hayabusa 处理 Windows EVTX；volatility3 分析内存；bulk_extractor 进行数据雕刻。
- 时间线重建：以初始访问为锚点，依次梳理执行、持久化、横向移动、收集、外泄与影响。
- IOC 提取：哈希、域名、IP、互斥体、注册表键、计划任务、服务、cron、浏览器痕迹、云主体。
- 关联分析：跨主机、跨云、身份层级关联，结合 ATT&CK 映射构建叙事。
- 云与身份重点：AWS 的 CloudTrail、GuardDuty、IAM Access Analyzer、Athena 查询与 assume-role 链；Azure 的 AAD 登录/审计、MCAS、Defender 与 OAuth 同意滥用；GCP 的 Cloud Audit、Workspace Login 与服务账号密钥滥用；身份层面的令牌窃取、主刷新令牌滥用、联合信任操纵。
使用方式：按采集、解析、时间线重建、IOC 提取、关联、报告的顺序推进；区分观察（痕迹本身说明什么）与推断（可能发生了什么）。
输出物：chain-of-custody.md、acquisition.log、带注释的 timeline.csv 超级时间线、iocs.stix.json、按主机/账号的 findings.md，以及 report.md（管理层叙事、根因、驻留时间、范围、恢复步骤与经验教训）。
限制：资料未提供具体安装命令、版本要求、平台支持范围、收费方式或效果数据，暂未提供。