Winforensics MCP

🚀 Windows Forensics MCP Server

LinuxからのWindows DFIR - Windowsツールに一切依存せず、Linux環境専用に設計された包括的なフォレンジックツールキットです。純粋なPythonライブラリを使用してWindowsアーティファクトをネイティブに解析します。

関連プロジェクト

• mem_forensics-mcp - 統一メモリフォレンジックMCPサーバー - Rustの速度とVol3のカバレッジを組み合わせた多層エンジン
• mac_forensics-mcp - macOS DFIR - 統一ログ、FSEvents、Spotlight、Plists、SQLiteデータベース、拡張属性

✨ 主な機能

コアフォレンジック

実行アーティファクト

ファイルシステムアーティファクト

ユーザーアクティビティ

ネットワークフォレンジック

APIモニターキャプチャ分析

マルウェア検出

オーケストレーター

ユーティリティ

📦 インストール

前提条件

# uv（高速Pythonパッケージマネージャー）をインストール
curl -LsSf https://astral.sh/uv/install.sh | sh
source ~/.bashrc

# Python 3.10以上がインストールされていることを確認
python3 --version

PyPIからインストール

uv tool install winforensics-mcp

ソースからインストール

git clone https://github.com/x746b/winforensics-mcp.git
cd winforensics-mcp

# uvでインストール（推奨）
uv sync

# またはすべてのオプション機能を含めてインストール
uv venv && source .venv/bin/activate
uv pip install -e ".[all]"

検証

uv run python -m winforensics_mcp.server
# エラーなく起動するはず（Ctrl+Cで終了）

Claude CLIへの追加

PyPIからインストールした場合

claude mcp add winforensics-mcp --scope user -- uv run winforensics-mcp

ソースからインストールした場合

claude mcp add winforensics-mcp \
  --scope user \
  -- uv run --directory /path/to/winforensics-mcp python -m winforensics_mcp.server

検証:

claude mcp list
# winforensics-mcpが表示されるはず

LLM統合 (CLAUDE.md)

AIによるフォレンジック分析を行うには、ケースディレクトリにを含めてください。これにより以下の機能が提供されます:

• オーケストレーター優先のガイダンス - LLMが低レベルのパーサーよりも高レベルのツールを使用することを保証
• トークン効率 - 適切なツール選択によりAPIコストを50%以上削減
• 調査ワークフロー - 一貫した分析のためのステップバイステップの方法論

使用方法

CLAUDE.mdをケースディレクトリにコピーします:

cp /path/to/winforensics-mcp/CLAUDE.md /your/case/directory/
# CLAUDE.md内のパスをケースに合わせて編集

LLMは自動的にオーケストレーター優先のアプローチをたどります:

💻 使用例

このバイナリは実行されましたか？

/mnt/evidenceのシステムでmimikatz.exeが実行されたかどうかを調査します

investigate_executionオーケストレーターはプリフェッチ、Amcache、およびSRUMを確認します:

{
  "target": "mimikatz.exe",
  "execution_confirmed": true,
  "confidence": "HIGH",
  "evidence": [
    {"source": "Prefetch", "finding": "3回実行され、最後は2024-03-15T14:23:45Z"},
    {"source": "Amcache", "finding": "SHA1: abc123..., 初回検出: 2024-03-14T09:00:00Z"},
    {"source": "SRUM", "finding": "ネットワーク: 15.2 MB送信; フォアグラウンド: 47秒"}
  ]
}

すべてのアーティファクトでIOCを検索

/mnt/evidenceでハッシュ204bc44c651e17f65c95314e0b6dfee586b72089を検索します

hunt_iocツールはプリフェッチ、Amcache、SRUM、MFT、USN、ブラウザ、EVTX、およびオプションでYARAを検索します:

{
  "ioc": "204bc44c651e17f65c95314e0b6dfee586b72089",
  "ioc_type": "sha1",
  "found": true,
  "sources_with_hits": ["Amcache", "MFT"],
  "findings": [
    {"source": "Amcache", "matches": 1, "details": "bloodhound.exe"},
    {"source": "MFT", "matches": 1, "details": "Users\\Admin\\Downloads\\bloodhound.exe"}
  ]
}

📚 詳細ドキュメント

オーケストレーター（高レベル調査）

実行アーティファクト

マルウェア検出 (YARA)

脅威インテリジェンス (VirusTotal)

ネットワークフォレンジック (PCAP)

APIモニターキャプチャ分析 (APMX)

パッカー検出 (DiE)

ファイルシステム

ユーザーアクティビティ

イベントログ

レジストリ

ユーティリティ

リモート収集

設定

VirusTotal APIキー

# オプション1: 環境変数
export VIRUSTOTAL_API_KEY="your-api-key-here"

# オプション2: 設定ファイル
mkdir -p ~/.config/winforensics-mcp
echo "your-api-key-here" > ~/.config/winforensics-mcp/vt_api_key

無料のAPIキーはvirustotal.comで取得できます。無料版は1分あたり4回のリクエストに制限されており、クライアントはレート制限を処理し、結果を24時間キャッシュします。

トラブルシューティング

DiE (Detect It Easy) が見つからない場合

# Debian/Ubuntu
sudo apt install detect-it-easy

# またはhttps://github.com/horsicq/DIE-engine/releasesからダウンロード

MCPサーバーを削除する場合

claude mcp remove winforensics-mcp --scope user

📄 ライセンス

クレジット: Rohitab Batra (API Monitor), Neo23x0/signature-base (YARAルール), horsicq/DIE-engine (Detect It Easy)

MITライセンス | xtk | DFIRコミュニティ向けに構築。Windowsは不要 >)