Volatility3 MCP

🚀 Volatility3 MCP サーバ

Volatility3 MCP サーバは、MCP クライアント（Claude Desktop など）と高度なメモリフォレンジックフレームワークである Volatility3 を接続する強力なツールです。この統合により、LLM は簡単な会話型インターフェイスを通じて、メモリダンプの分析、マルウェアの検出、複雑なメモリフォレンジックタスクの実行が可能になります。

🚀 クイックスタート

解決する問題

メモリフォレンジックは複雑で、通常は専門知識とコマンドラインスキルが必要な分野です。このプロジェクトは以下の問題を解決します。

• 非専門家でも自然言語でメモリ分析ができるようにする
• LLM が直接メモリダンプを分析し、洞察を提供できるようにする
• 通常複数の手動ステップを必要とする一般的なフォレンジックワークフローを自動化する
• メモリフォレンジックの使いやすさとアクセシビリティを向上させる

特性

• メモリダンプ分析：様々なプラグインを使用して、Windows と Linux のメモリダンプを分析します。
• プロセスチェック：実行中のプロセスをリストし、その詳細情報を表示し、疑わしい活動を識別します。
• ネットワーク分析：ネットワーク接続をチェックして、コマンドとコントロールサーバを発見します。
• クロスプラットフォームサポート：Windows と Linux のメモリダンプをサポートします（macOS は近日追加予定）。
• マルウェア検出：YARA ルールを使用してメモリをスキャンし、既知のマルウェアシグネチャを識別します。

デモ

デモビデオ

ここでも、このツールの詳細なデモを見ることができます。

設定

1. このリポジトリをクローンします。
2. 仮想環境を作成します。

   python -m venv environ
   source environ/bin/activate
   

3. 必要な依存関係をインストールします。

   pip install -r requirements.txt
   

このプロジェクトは2つの方法で使用できます。

オプション1：Claude Desktop と一緒に使用する場合

4. Claude Desktop を設定します。
   • Claude -> 設定 -> 開発者 -> 設定の編集 -> claude_desktop_config.json に移動し、以下の内容を追加します。

        {
            "mcpServers": {
            "volatility3": {
                "command": "仮想環境の絶対パス/bin/python3",
                "args": [
                "bridge_mcp_volatility.py の絶対パス"
                ]
            }
            }
        }
     

     
5. Claude Desktop を再起動し、メモリダンプの分析を開始します。

オプション2：Cursor（SSE サーバ）と一緒に使用する場合

4. SSE サーバを起動します。

   python3 start_sse_server.py
   

5. Cursor を設定して SSE サーバを使用するようにします。
   • Cursor の設定を開きます。
   • 機能 -> MCP サーバ に移動します。
   • URL が http://127.0.0.1:8080/sse の新しい MCP サーバを追加します。
6. Cursor Composer の代理モードを使用し、メモリダンプの分析を開始します。

利用可能なツール

• initialize_memory_file：分析に使用するメモリファイルを設定します。
• detect_os：メモリダンプのオペレーティングシステムを識別します。
• list_plugins：すべての利用可能な Volatility3 プラグインを表示します。
• get_plugin_info：特定のプラグインの詳細情報を取得します。
• run_plugin：カスタムパラメータを使用して任意の Volatility3 プラグインを実行します。
• get_processes：メモリダンプ内のすべての実行中プロセスをリストします。
• get_network_connections：システムのすべてのネットワーク接続を表示します。
• list_process_open_handles：プロセスが開いているハンドルやアクセスしているファイルなどのリソースをチェックします。
• scan_with_yara：YARA ルールを使用してメモリをマルウェアパターンでスキャンします。

貢献

どんな貢献も大歓迎です！自由に Pull Request を送信してください。