Mac Forensics MCP

🚀 mac_forensics - mcp

macOSのデジタルフォレンジックスとインシデントレスポンス（DFIR）用のMCP（Model Context Protocol）サーバーです。このサーバーは、macOSのトリアージ収集に対する構造化されたフォレンジック分析ツールを提供し、LLMを使用したインシデント調査時のコンテキストのオーバーヘッドを軽減します。

🚀 クイックスタート

このMCPサーバーは、macOSのトリアージ収集に対する構造化されたフォレンジック分析ツールを提供し、LLMを使用したインシデント調査時のコンテキストのオーバーヘッドを軽減します。

✨ 主な機能

• 大量のファイルを生のgrepで検索するのではなく、構造化されたクエリを使用できます。
• 自動的なタイムスタンプの正規化（Mac絶対時間 → UTC）を行います。
• 事前に構築されたセキュリティイベント検出パターンが用意されています。
• クロスアーティファクトの相関分析とタイムラインの構築が可能です。
• コンテキストのオーバーフローを避けるためのページネーション機能があります。
• 利用可能なアーティファクトを発見する機能が備わっています。

📦 インストール

cd /opt/macOS/mac_forensics-mcp

# 仮想環境を作成し、依存関係をインストールする
uv venv
uv pip install -e .

クロードコードの設定

オプション1: claude mcp add を使用する（推奨）

# ユーザー設定に追加する（すべてのプロジェクトで利用可能）
claude mcp add mac - forensics - s user -- /opt/macOS/mac_forensics-mcp/.venv/bin/python - m mac_forensics_mcp.server

# または、現在のプロジェクトのみに追加する
claude mcp add mac - forensics -- /opt/macOS/mac_forensics-mcp/.venv/bin/python - m mac_forensics_mcp.server

追加されたことを確認するには：

claude mcp list

削除するには：

claude mcp remove mac - forensics - s user

オプション2: 手動でJSONを設定する

~/.claude/settings.json（ユーザーレベル）または .claude/settings.json（プロジェクトレベル）に追加します：

{
  "mcpServers": {
    "mac - forensics": {
      "command": "/opt/macOS/mac_forensics-mcp/.venv/bin/python",
      "args": ["-m", "mac_forensics_mcp.server"],
      "env": {}
    }
  }
}

利用可能なツール（23個）

発見

統合ログ

Plistファイル

データベース

ユーザー分析

FSEvents

拡張属性とSpotlight

システムログ

相関分析と調査

セキュリティイベントの種類

mac_unified_logs_security_events ツールは、以下のイベントタイプをサポートしています：

調査イベントの種類

mac_investigate_event ツールは、以下のイベントタイプの深い調査をサポートしています：

💻 使用例

トリアージ内のアーティファクトを発見する

mac_list_artifacts(artifacts_dir="/path/to/triage")

ユーザー削除イベントを見つける

mac_unified_logs_security_events(
    log_path="/path/to/unified_logs.csv",
    event_type="user_deleted"
)

ユーザー削除の深い調査

mac_investigate_event(
    artifacts_dir="/path/to/triage",
    event_type="user_deletion",
    target="username"
)

Safariの検索履歴を取得する

mac_safari_searches(
    db_path="/path/to/History.db",
    query_filter="delete"
)

Plistから削除されたユーザーを読み取る

mac_plist_read(
    plist_path="/path/to/com.apple.preferences.accounts.plist",
    key_path="deletedUsers"
)

外部デバイスのアクティビティを見つける

mac_parse_fsck_apfs_log(
    log_path="/path/to/fsck_apfs.log",
    external_only=True
)

特定のボリュームを検索する

mac_parse_fsck_apfs_log(
    log_path="/path/to/fsck_apfs.log",
    volume_filter="suspicious_volume"
)

ユーザーのアクティビティタイムラインを構築する

mac_get_user_timeline(
    artifacts_dir="/path/to/triage",
    username="username"
)

FSEventsを検索してファイルのアクティビティを見つける

mac_fsevents_search(
    fseventsd_path="/path/to/.fseventsd",
    path_filter="/Users/username",
    event_types=["created", "deleted"]
)

設定

外部ツールのパス

外部のフォレンジックツールは、環境変数を介して設定することができます。設定されていない場合、デフォルトは /opt/macOS/ パスになります。

カスタムパスの例：

{
  "mcpServers": {
    "mac - forensics": {
      "command": "/opt/macOS/mac_forensics-mcp/.venv/bin/python",
      "args": ["-m", "mac_forensics_mcp.server"],
      "env": {
        "MAC_FORENSICS_UNIFIEDLOG_ITERATOR_PATH": "/custom/path/unifiedlog_iterator",
        "MAC_FORENSICS_FSEPARSER_PATH": "/custom/path/FSEParser.py",
        "MAC_FORENSICS_SPOTLIGHT_PARSER_PATH": "/custom/path/spotlight_parser.py"
      }
    }
  }
}

依存関係

• Python 3.10以上
• uv（仮想環境とパッケージ管理用）
• mcp >= 1.0.0
• biplist（オプション、不正なPlist用）

外部ツール（オプション、生のアーティファクトを解析するため）：

• unifiedlog_iterator - .logarchiveバンドルを解析するため
• FSEParser - FSEvents（.fseventsd）を解析するため
• spotlight_parser - Spotlightインデックスを解析するため

アーキテクチャ

mac_forensics_mcp/
├── server.py                # MCPサーバーとツールの定義
├── config.py                # 設定可能な外部ツールのパス
├── parsers/
│   ├── plist_parser.py      # Plistファイルの解析
│   ├── unified_log_parser.py # 統合ログの分析
│   ├── sqlite_parser.py     # SQLiteデータベース（KnowledgeC、Safari、TCC）
│   ├── fsevents_parser.py   # FSEventsの解析
│   ├── spotlight_parser.py  # Spotlightインデックスの解析
│   ├── xattr_parser.py      # 拡張属性の解析
│   └── fsck_apfs_parser.py  # fsck_apfs.logの解析
├── correlation/
│   ├── timeline_builder.py  # クロスアーティファクトのタイムライン相関分析
│   └── event_investigator.py # イベント固有の調査
└── utils/
    ├── timestamps.py        # Mac/WebKit/HFSタイムスタンプの変換
    └── discovery.py         # アーティファクトの発見

フォレンジック価値

このMCPサーバーは、実際のmacOS DFIR調査に基づいて開発されました。主要なフォレンジック機能は以下の通りです：

参考文献

• SANS FOR518ポスター
• mac4n6アーティファクトスプレッドシート
• SUMURI Mac Forensics Best Practices Guide 2025
• Google Cloud - Reviewing macOS Unified Logs

コントリビューション

macOS DFIR調査から得られた教訓に基づいています。追加のツールやイベントパターンを歓迎します。

作者

xtk

DFIRコミュニティのために構築されました。