用途：面向数字取证与事件响应（DFIR），通过分析事件日志、网络抓包和文件系统痕迹调查安全事件，检测并重建 AD 攻击链。
主要能力：Windows 事件日志（EVTX 解析、事件 ID 关联、登录跟踪、权限枚举）；网络取证（PCAP 分析、NTLM 提取、LLMNR/NBT-NS 投毒检测、中继识别）；文件系统取证（MFT 解析、Prefetch 分析、VSS 痕迹恢复、Linux 持久化、时间线重建）；AD 攻击检测（Kerberoasting、AS-REP roasting、NTDS dump、NTLM 中继、凭据窃取）；内存取证（Volatility3：进程树、文件提取、SID 解析、命令行）；哈希分析（从 pcap 构造 NTLMv2 哈希、离线破解验证）。
使用方式：按工作流清点证据、解析结构化数据、识别攻击指标、跨来源关联、重建时间线并回答调查问题。工具安装：pip install python-evtx windowsprefetch analyzeMFT；brew install wireshark p7zip hashcat。常用工具包括 python-evtx、tshark、analyzeMFT、windowsprefetch、hashcat、volatility3、7z。
限制与注意：所有时间戳统一为 UTC，注意 AM/PM 换算；EVTX 用 python-evtx 解析；大文件 pcap 用 tshark 而非 scapy；Win10 prefetch 需用 lzxpress_huffman 解压；AES 加密 ZIP（压缩方法 99）用 7z 而非 unzip。资料未提供收费、平台与效果信息。