用途：面向Windows数字取证与事件响应，使用EZ Tools开源工具集对Windows关键工件做解析与时间线分析，服务安全评估、审计与事件响应流程。
主要能力：KAPE负责工件采集(Targets)与处理(Modules)编排；MFTECmd解析$MFT、$J、$Boot、$SDS、$LogFile；PECmd解析Prefetch以证明程序执行；RECmd按批处理文件提取注册表键值；EvtxECmd解析.evtx事件日志；LECmd、JLECmd解析LNK与跳转列表；SBECmd解析Shellbags；Timeline Explorer对CSV做过滤、排序、条件格式化与书签。
使用方式：需Windows 10/11或Server 2016+分析机、.NET 6运行时、管理员权限、取证镜像或triage采集、8GB以上内存。KAPE命令示例：kape.exe --tsource E: --tdest C:\Cases\Case001\Collection --target KapeTriage --mdest C:\Cases\Case001\Processed --module !EZParser。单工件示例：MFTECmd.exe -f "C:\Cases\Evidence$MFT" --csv C:\Cases\Output --csvf MFT_output.csv；PECmd.exe -d "C:\Cases\Evidence\Windows\Prefetch" --csv C:\Cases\Output；EvtxECmd.exe -d "...\winevt\Logs" --csv C:\Cases\Output；LECmd、JLECmd、SBECmd用法类似。输出CSV可导入Timeline Explorer或SIEM。
限制：依赖预先采集的镜像或现场采集权限；时间戳比对等分析需人工判断；除资料所列工具、路径与命令外，其他功能、收费与平台支持暂未提供。