KAPE:
de un clonado de disco de 8 horas a un triaje de 10 minutos
Forense digital (DFIR) | unfantasmaenelsistema.com
Clonar un disco completo para una respuesta a incidentes tiene un coste que rara vez se justifica en las primeras horas: entre 2 y 8 horas de copia, y entre 100 y 500 GB que analizar después. KAPE —Kroll Artifact Parser and Extractor, de Eric Zimmerman— resuelve el mismo problema con otra pregunta: en lugar de copiarlo todo, ¿por qué no copiar solo los artefactos que ya se sabe que importan? El resultado es un triaje de 100 a 500 MB en cuestión de minutos, suficiente para responder a las primeras preguntas de un incidente sin esperar a un análisis forense completo.
Qué aprenderás en este artículo
Por qué KAPE separa recolección y procesado en dos motores independientes · Qué son los targets y los modules, y cómo se combinan en un solo comando · Qué artefactos de Windows priorizar según lo que se necesite responder primero · Cómo encadenar KAPE con Plaso para generar directamente una línea de tiempo
1. Dos motores independientes: qué recolectar, qué procesar
| Motor | Formato | Qué define |
|---|---|---|
| Targets (.tkape) | YAML | Qué copiar: directorios, ficheros con comodines, incluso datos de Volume Shadow Copy |
| Modules (.mkape) | YAML | Qué herramienta de análisis ejecutar sobre lo ya recolectado, y en qué formato de salida |
Esa separación es la clave de su velocidad: recolectar no requiere analizar nada todavía, y analizar no requiere volver a tocar el sistema origen. El repositorio comunitario KapeFiles aporta más de 200 targets ya preconfigurados, listos para usar sin escribir ninguno desde cero.
2. Sintaxis: recolectar y procesar
# Actualizar targets y modulos desde el repositorio comunitario kape.exe --sync # Recolectar artefactos concretos de la unidad C: hacia un destino kape.exe --tsource C: --tdest D:\triaje --target EventLogs --target Prefetch # Procesar lo ya recolectado con una herramienta de analisis (modulo) kape.exe --msource D:\triaje --mdest D:\analisis --module PECmd # Recolectar y procesar en un solo paso kape.exe --tsource C: --tdest D:\salida --target !SANS_Triage --module EZtools
3. Qué priorizar cuando el tiempo es el recurso escaso
| Prioridad | Artefacto | Qué revela |
|---|---|---|
| Alta | Event Logs (Security, System) | Autenticación, ejecución de procesos, cambios de política |
| Alta | $MFT | Metadatos de todos los ficheros, incluidos los ya borrados |
| Alta | Prefetch | Programas ejecutados, con marca de tiempo |
| Alta | Registro (SYSTEM, SOFTWARE, NTUSER.DAT) | Persistencia, servicios, claves Run |
| Media | Amcache.hve | Hashes SHA1 de programas instalados o ejecutados |
| Media | ShimCache | Ejecuciones previas, también con marca de tiempo |
| Baja | Papelera de reciclaje, $UsnJrnl | Ficheros eliminados y cambios detallados del sistema de ficheros |
| Módulo | Herramienta EZ Tools | Salida |
|---|---|---|
| PECmd | PECmd.exe | CSV de Prefetch |
| EvtxECmd | EvtxECmd.exe | CSV de Event Logs |
| MFTECmd | MFTECmd.exe | CSV de metadatos de la MFT |
| RECmd | RECmd.exe | CSV del Registro |
| AmcacheParser | AmcacheParser.exe | CSV de programas en Amcache |
4. De KAPE a una línea de tiempo completa
El módulo Plaso encadena directamente con log2timeline.py, generando un almacén .plaso a partir de lo que KAPE ya recolectó — el mismo motor y el mismo formato que se usan para construir una super-timeline completa, sin tener que apuntar log2timeline contra una imagen entera cuando ya se dispone de un triaje dirigido.
# Procesar el triaje ya recolectado directamente con Plaso kape.exe --msource D:\triaje --mdest D:\timelines --module Plaso # Resultado: timeline.plaso, listo para importar en Timesketch
Un ejemplo completo en menos de 5 minutos
kape.exe –tsource C: –tdest E:\triaje –target !SANS_Triage (recolección, unos 3 minutos), seguido de kape.exe –msource E:\triaje –mdest E:\analisis –module PECmd –module EvtxECmd –module MFTECmd (procesado en paralelo, unos 2 minutos) — evidencia lista para revisar sin haber tocado el disco de origen más que para leerlo
Cadena de custodia y encuadre legal
KAPE es una herramienta exclusivamente defensiva, pero eso no la exime de las mismas exigencias que cualquier recolección forense: documentar el hash (MD5/SHA256) de cada artefacto recolectado antes de tocarlo, y contar con autorización expresa del propietario del sistema. Sin esa autorización, recolectar artefactos de un equipo ajeno puede constituir por sí mismo un acceso no consentido.
Conclusión
KAPE no sustituye a un análisis forense completo cuando el caso lo requiere: sustituye la espera de horas por una primera respuesta de minutos, con la evidencia justa para decidir si hace falta profundizar y por dónde exactamente.
Esa rapidez es la razón por la que equipos como Mandiant o CrowdStrike lo usan como primer paso estándar — no porque sustituya el resto del proceso DFIR, sino porque ninguna decisión posterior debería esperar más de lo necesario para empezar a tomarse.
Practica esto en el laboratorio guiado de GhostAcademy
GhostAcademy dedica una guía completa a KAPE, con targets y modules explicados, un ejemplo de triaje completo y su integración con Plaso para generar una línea de tiempo.
Abrir la guía de KAPE →Referencias
La guía interactiva de KAPE de GhostAcademy, con targets, modules y el flujo completo hasta Plaso · Otro artículo de esta serie profundiza en Plaso y log2timeline, el motor con el que KAPE encadena directamente para generar una super-timeline
unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)