Mcpcap

🚀 mcpcap

PCAPファイルを分析するためのモジュール化されたPython MCP（Model Context Protocol）サーバーです。mcpcapを使用すると、LLMがローカルファイルパスまたはリモートURLをパラメータとして受け取るプロトコル固有の分析ツールを使って、ネットワークパケットキャプチャを読み取り、分析することができます（ファイルのアップロードは不要で、PCAPファイルのパスまたはURLを指定します）。

🚀 クイックスタート

mcpcapは、PCAPファイルに含まれるさまざまなネットワークプロトコルを分析するために、モジュール化されたアーキテクチャを使用しています。各モジュールは、任意のPCAPファイルで独立して呼び出すことができる特殊な分析ツールを提供し、Claude Desktopやその他のMCPクライアントとの統合に最適です。

1. MCPサーバーを起動する

mcpcapをステートレスなMCPサーバーとして起動します。

# デフォルト: DNS、DHCP、ICMPモジュールで起動
mcpcap

# 特定のモジュールのみで起動
mcpcap --modules dns

# パケット分析の制限を設定
mcpcap --max-packets 1000

2. MCPクライアントを接続する

MCPクライアント（Claude Desktopなど）をmcpcapサーバーに接続するように設定します。

{
  "mcpServers": {
    "mcpcap": {
      "command": "mcpcap",
      "args": []
    }
  }
}

3. PCAPファイルを分析する

ファイルパスまたはURLを指定することで、任意のPCAPファイルで分析ツールを使用します（ファイルのアップロードは不要です）。 DNS分析:

analyze_dns_packets("/path/to/dns.pcap")
analyze_dns_packets("https://example.com/remote.pcap")

DHCP分析:

analyze_dhcp_packets("/path/to/dhcp.pcap")
analyze_dhcp_packets("https://example.com/dhcp-capture.pcap")

ICMP分析:

analyze_icmp_packets("/path/to/icmp.pcap")
analyze_icmp_packets("https://example.com/ping-capture.pcap")

CapInfos分析:

analyze_capinfos("/path/to/any.pcap")
analyze_capinfos("https://example.com/capture.pcap")

✨ 主な機能

• ステートレスなMCPツール：各分析はPCAPファイルのパスまたはURLをパラメータとして受け取ります（ファイルのアップロードは不要）
• モジュール化されたアーキテクチャ：DNS、DHCP、ICMP、CapInfosモジュールがあり、新しいプロトコルに簡単に拡張できます
• ローカルとリモートのPCAPサポート：ローカルストレージまたはHTTP URLからのファイルを分析できます
• Scapy統合：scapyの包括的なパケット解析機能を活用します
• 特殊な分析プロンプト：セキュリティ、ネットワーキング、フォレンジック分析のガイダンスを提供します
• JSONレスポンス：LLMでの消費に最適化された構造化データ形式

📦 インストール

mcpcapはPython 3.10以上が必要です。

pipを使用する場合

pip install mcpcap

uvを使用する場合

uv add mcpcap

uvxを使用する場合（一度だけの使用）

uvx mcpcap

💻 使用例

基本的な使用法

上記のクイックスタートの手順で示したコードが基本的な使用例になります。

高度な使用法

# 特定のモジュールとパケット制限を設定して起動
mcpcap --modules dns,dhcp,icmp,capinfos --max-packets 500

📚 ドキュメント

利用可能なツール

DNS分析ツール

• analyze_dns_packets(pcap_file)：完全なDNSトラフィック分析
  • DNSクエリとレスポンスを抽出します
  • クエリされたドメインとサブドメインを特定します
  • クエリタイプ（A、AAAA、MX、CNAMEなど）を分析します
  • クエリの頻度とパターンを追跡します
  • 潜在的なセキュリティ問題を検出します

DHCP分析ツール

• analyze_dhcp_packets(pcap_file)：完全なDHCPトラフィック分析
  • DHCPトランザクション（DISCOVER、OFFER、REQUEST、ACK）を追跡します
  • DHCPクライアントとサーバーを特定します
  • IPアドレスの割り当てとリース情報を監視します
  • DHCPオプションと設定を分析します
  • DHCPの異常とセキュリティ問題を検出します

ICMP分析ツール

• analyze_icmp_packets(pcap_file)：完全なICMPトラフィック分析
  • 応答時間を含めてpingリクエストとレプライを分析します
  • ネットワークの接続性と到達可能性の問題を特定します
  • TTL値とルーティングパス（トレーサーouteデータ）を追跡します
  • ICMPエラーメッセージ（到達不能、時間切れ）を検出します
  • 潜在的なICMPベースの攻撃や調査活動を監視します

CapInfos分析ツール

• analyze_capinfos(pcap_file)：PCAPファイルのメタデータと統計情報
  • ファイル情報（サイズ、名前、リンクレイヤーカプセル化）
  • パケット統計（数、データサイズ、平均パケットサイズ）
  • 時間的分析（期間、タイムスタンプ、パケットレート）
  • データスループットメトリクス（バイト/秒、ビット/秒）
  • Wiresharkのcapinfos(1)ユーティリティに似ています

分析プロンプト

mcpcapは、LLM分析をガイドするための特殊な分析プロンプトを提供します。

DNSプロンプト

• security_analysis - 脅威検出、DGAドメイン、DNSトンネリングに焦点を当てます
• network_troubleshooting - DNSのパフォーマンスと設定の問題を特定します
• forensic_investigation - タイムラインの再構築と証拠収集を行います

DHCPプロンプト

• dhcp_network_analysis - ネットワーク管理とIP管理
• dhcp_security_analysis - セキュリティ脅威と不正なDHCPサーバーの検出
• dhcp_forensic_investigation - DHCPトランザクションのフォレンジック分析

ICMPプロンプト

• icmp_network_diagnostics - ネットワークの接続性とパス分析
• icmp_security_analysis - ICMPベースの攻撃と調査活動の検出
• icmp_forensic_investigation - タイムラインの再構築とネットワークマッピング

設定オプション

モジュール選択

# 特定のモジュールを読み込む
mcpcap --modules dns              # DNS分析のみ
mcpcap --modules dhcp             # DHCP分析のみ
mcpcap --modules icmp             # ICMP分析のみ  
mcpcap --modules dns,dhcp,icmp,capinfos    # すべてのモジュール（デフォルト）

分析制限

# 大きなファイルのパケット分析を制限する
mcpcap --max-packets 1000

完全な設定例

mcpcap --modules dns,dhcp,icmp,capinfos --max-packets 500

CLIリファレンス

mcpcap [--modules MODULES] [--max-packets N]

オプション:

• --modules MODULES: 読み込むモジュールをカンマ区切りで指定（デフォルト: dns,dhcp,icmp,capinfos）
  • 利用可能なモジュール: dns, dhcp, icmp, capinfos
• --max-packets N: ファイルごとに分析する最大パケット数（デフォルト: 無制限）

例:

# すべてのモジュールで起動
mcpcap

# DNS分析のみ
mcpcap --modules dns

# 大きなファイルのパケット制限を設定
mcpcap --max-packets 1000

サンプル

examples/ディレクトリには、サンプルのPCAPファイルが含まれています。

• dns.pcap - DNS分析をテストするためのDNSトラフィック
• dhcp.pcap - DHCP 4ウェイハンドシェイクのキャプチャ
• icmp.pcap - ICMP pingとトレーサーouteトラフィック

MCPインスペクターとの使用例

npm install -g @modelcontextprotocol/inspector
npx @modelcontextprotocol/inspector mcpcap

その後、ツールをテストします。

// MCPインスペクターのWebインターフェイスで
analyze_dns_packets("./examples/dns.pcap")
analyze_dhcp_packets("./examples/dhcp.pcap")
analyze_icmp_packets("./examples/icmp.pcap")
analyze_capinfos("./examples/dns.pcap")

🔧 技術詳細

アーキテクチャ

mcpcapのモジュール化された設計は、簡単な拡張をサポートしています。

コアコンポーネント

1. BaseModule：共有ファイル処理、検証、リモートダウンロード
2. プロトコルモジュール：DNS、DHCP、ICMP分析の実装
3. MCPインターフェイス：ツールの登録とプロンプト管理
4. FastMCPフレームワーク：MCPサーバーの実装

ツールのフロー

MCP Client Request → analyze_*_packets(pcap_file)
                  → BaseModule.analyze_packets()
                  → Module._analyze_protocol_file()
                  → Structured JSON Response

新しいモジュールの追加

新しいプロトコルモジュールを作成するには、以下の手順を実行します。

1. BaseModuleを継承する
2. _analyze_protocol_file(pcap_file)を実装する
3. MCPサーバーに分析ツールを登録する
4. 特殊な分析プロンプトを追加する

将来的に追加されるモジュールには、以下のものが含まれる可能性があります。

• HTTP/HTTPSトラフィック分析
• TCP接続追跡
• BGPルーティング分析
• SSL/TLS証明書分析
• ネットワークフォレンジックツール

リモートファイルのサポート

両方の分析ツールは、HTTP/HTTPS URLを介したリモートPCAPファイルを受け入れます。

# リモート分析の例
analyze_dns_packets("https://wiki.wireshark.org/uploads/dns.cap")
analyze_dhcp_packets("https://example.com/network-capture.pcap")
analyze_icmp_packets("https://example.com/ping-test.pcap")
analyze_capinfos("https://example.com/network-metadata.pcap")

機能:

• 自動的な一時ダウンロードとクリーンアップ
• .pcap, .pcapng, .capファイルのサポート
• HTTP/HTTPSプロトコルのサポート

セキュリティに関する考慮事項

PCAPファイルを分析する際には、以下の点に注意してください。

• ファイルには機密性の高いネットワーク情報が含まれている可能性があります。
• 可能な限りHTTPSを介してリモートダウンロードが行われます。
• 一時ファイルは自動的にクリーンアップされます。
• リモートファイルのソースと信頼性を考慮してください。

🤝 コントリビューション

コントリビューションを歓迎します！コントリビューションの分野は以下の通りです。

• 新しいプロトコルモジュール：HTTP、BGP、TCPなどのサポートを追加する
• 高度な分析：既存のDNS/DHCP分析を改善する
• セキュリティ機能：より多くの脅威検出機能を追加する
• パフォーマンス：大きなPCAPファイルの分析を最適化する

📄 ライセンス

MIT

必要条件

• Python 3.10+
• scapy（パケット解析と分析）
• requests（リモートファイルアクセス）
• fastmcp（MCPサーバーフレームワーク）

ドキュメント関連

• GitHub: github.com/mcpcap/mcpcap
• ドキュメント: docs.mcpcap.ai
• ウェブサイト: mcpcap.ai

サポート

質問、問題、または機能要求については、GitHubでイシューを開いてください。