用途：对可疑或已失陷的 Windows 主机进行取证排查，基于磁盘痕迹重建攻击者活动。适用于实时主机或镜像、KAPE/Velociraptor/EDR 采集包、EVTX/Sysmon/PowerShell 日志分析、持久化与横向移动痕迹狩猎，以及检测时间戳篡改、日志清除等反取证行为。不适用于 Linux 主机、内存镜像分析、云身份事件或纯主动威胁狩猎。
主要能力：先做分诊采集（KAPE 目标采集、哈希校验、在副本上分析），再解析执行证据（PECmd 解析 Prefetch、AmcacheParser、AppCompatCacheParser、SrumECmd、RECmd 解析 UserAssist/BAM 等），分析事件日志关键 ID（4624/4625/4688/7045/1102 等）、Sysmon、PowerShell 4104、RDP、WMI 与计划任务日志；狩猎 Run 键、服务、计划任务、WMI 订阅、Winlogon、IFEO、COM 劫持、LSA、BITS 等持久化位置；通过 4624 Type 3/10、4648、7045 等关联横向移动；用 MFTECmd 解析 $MFT、USN、$LogFile 做文件系统取证与时间戳伪造检测；用 Chainsaw、Hayabusa、Plaso 构建超级时间线。
使用方式：先采集并校验哈希，再在副本上运行解析器；命令示例包括 kape.exe --tsource C: --target !SANS_Triage --tdest E:\out\host01 --vhdx host01、PECmd.exe -d C:\Windows\Prefetch --csv E:\out\parsed -q、MFTECmd.exe -f "E:\out\host01$MFT" --csv E:\out\parsed、chainsaw hunt ... --csv -o chainsaw_out、hayabusa.exe csv-timeline -d ... -o hayabusa.csv -p verbose、log2timeline.py --storage-file plaso.db E:\out\host01 与 psort.py -o l2tcsv -w super.csv plaso.db。
限制：Prefetch 在多数服务器上缺失或 SSD 系统被禁用；Shimcache 仅表示文件被看到而非执行；$STANDARD_INFORMATION 时间可被伪造，需与 $FILE_NAME 和 USN 对照；日志清除会留下缺口，需在时间线中明确标注为限制。具体工具版本、平台与收费信息暂未提供。