用途：在事件响应的早期遏制与分诊阶段，用 KAPE 从一台或多台 Windows 主机快速采集可解析的取证痕迹，判断哪些主机需要深入镜像。KAPE 是 Windows 原生免费工具，由 Eric Zimmerman 编写、Kroll 分发，含 CLI（kape.exe）与 GUI（gkape.exe）。
主要能力：Targets（.tkape）定义采集内容，通过直接卷访问复制被占用/锁定文件，如注册表 hive、$MFT、事件日志、Prefetch、浏览器数据库、LNK；可链成复合 Target（如 KapeTriage、!SANS_Triage）。Modules（.mkape）封装外部二进制（主要为 EZ Tools：PECmd、MFTECmd、RECmd 等），输出规范化 CSV/JSON；!EZParser 复合模块运行整套 EZ Tools。支持 --vss 处理卷影副本，--vhdx/--zip 打包并记录哈希，_kape.cli 批量模式用于车队部署。
使用方式：需管理员权限与 .NET 运行时；从 https://www.kroll.com/kape 下载（免费，需注册）。先同步配置：kape.exe --sync，并用 Get-KAPEUpdate.ps1 更新 EZ Tools 二进制。用 --tlist/--mlist 列出可用项。采集示例：kape.exe --tsource C: --target KapeTriage --tdest E:\kape_out\HOST01\tdest --tflush。加 --vss 包含卷影副本；用 --vhdx HOST01（基名，非文件名）打包。解析示例：kape.exe --msource E:\kape_out\HOST01\tdest\C --mdest E:\kape_out\HOST01\mdest --module !EZParser --mflush。目标与模块开关可同时给出以一次完成采集与解析。
适用场景：早期分诊、无法全盘镜像时的快速采集、通过 PSExec/EDR/SOAR 远程批量采集、从卷影副本恢复历史状态。
限制：仅可对自有或书面授权的系统运行，需维护证据链并遵守机构证据处理流程；需管理员权限；目标目录应写保护并与源分离；必须保留 CopyLog、ConsoleLog、SkipLog 并尽量校验 SHA-1。更多细节以官方文档为准，资料未提供的功能与收费情况暂未提供。