Volatility3

🚀 Volatility3 MCP サーバー

Volatility3 MCP サーバーは、MCP クライアント（Claude Desktop など）と高度なメモリフォレンジックフレームワークである Volatility3 を接続する強力なツールです。この統合により、大規模言語モデルがメモリダンプを分析し、マルウェアを検出し、シンプルな対話インターフェイスを通じて複雑なメモリフォレンジックタスクを実行できるようになります。

🚀 クイックスタート

メモリフォレンジックは、専門知識とコマンドライン操作が必要な複雑な分野です。このプロジェクトは以下の問題を解決します。

• 非専門家が自然言語でメモリフォレンジックを行えるようにする
• 大規模言語モデルがメモリダンプを直接分析し、洞察を提供できるようにする
• 通常複数の手動ステップが必要な一般的なフォレンジックワークフローを自動化する
• メモリフォレンジックの使いやすさとユーザーフレンドリー性を向上させる

✨ 主な機能

• メモリダンプ分析：様々なプラグインを使用して、Windows と Linux のメモリダンプを分析します。
• プロセスチェック：実行中のプロセスをリストし、その詳細情報を表示し、疑わしい活動を識別します。
• ネットワーク分析：ネットワーク接続をチェックして、コマンドアンドコントロールサーバーを発見します。
• クロスプラットフォームサポート：Windows と Linux のメモリダンプに対応（macOS サポートは近日追加予定）。
• マルウェア検出：YARA ルールを使用してメモリをスキャンし、既知のマルウェアシグネチャを識別します。

🎥 デモ

デモビデオ

こちらでこのツールの詳細デモも見ることができます。

📦 インストール

1. このリポジトリをクローンします。
2. 仮想環境を作成します。

   python -m venv environ
   source environ/bin/activate
   

3. 必要な依存関係をインストールします。

   pip install -r requirements.txt
   

このプロジェクトは、以下の 2 つの方法で使用できます。

オプション 1：Claude Desktop と一緒に使用する場合

4. Claude Desktop を設定します。
   • Claude -> 設定 -> 開発者 -> 設定を編集 -> claude_desktop_config.json を開き、以下の内容を追加します。

        {
            "mcpServers": {
            "volatility3": {
                "command": "仮想環境/bin/python3 の絶対パス",
                "args": [
                "bridge_mcp_volatility.py の絶対パス"
                ]
            }
            }
        }
     

5. Claude Desktop を再起動し、メモリダンプの分析を開始します。

オプション 2：Cursor（SSE サーバー）と一緒に使用する場合

4. SSE サーバーを起動します。

   python3 start_sse_server.py
   

5. Cursor が SSE サーバーを使用するように設定します。
   • Cursor の設定を開きます。
   • 機能 -> MCP サーバー をクリックします。
   • 新しい MCP サーバーを追加し、URL を http://127.0.0.1:8080/sse に設定します。
6. Cursor Composer のプロキシモードを使用して、メモリダンプの分析を開始します。

💻 使用例

基本的な使用法

このツールには以下のような使い方があります。

利用可能なツール

• initialize_memory_file：分析するメモリダンプファイルを設定します。
• detect_os：メモリダンプのオペレーティングシステムを識別します。
• list_plugins：すべての利用可能な Volatility3 プラグインを表示します。
• get_plugin_info：特定のプラグインの詳細情報を取得します。
• run_plugin：カスタムパラメータを使用して、任意の Volatility3 プラグインを実行します。
• get_processes：メモリダンプ内のすべての実行中プロセスをリストします。
• get_network_connections：システム内のすべてのネットワーク接続を表示します。
• list_process_open_handles：プロセスがアクセスしているファイルやリソースをチェックします。
• scan_with_yara：YARA ルールを使用してメモリ内の悪意あるパターンをスキャンします。

🤝 貢献

貢献を歓迎します！Pull Request をいつでも送信してください。