Netforensicmcp

NetForensicMCP v2.1

（以前はWireMCP。現在はオフラインフォレンジック分析に特化しています）

English | 中文

NetForensicMCP（以前はWireMCP）は、LLMに高度なオフラインネットワークトラフィック分析と脅威インテリジェンス機能を提供するために設計された、Model Context Protocol（MCP）サーバーです。Wiresharkのtsharkを基盤として構築されており、サイバーセキュリティの専門家、脅威ハンター、ネットワークフォレンジック調査員向けに包括的なPCAP分析ツールを提供します。

🚀 主な機能

コア分析エンジン

• スマートストリーム分析：大きなPCAPファイルをトークンあふれなしで処理できるよう、コンテンツをインテリジェントに分割します
• 脅威インテリジェンスとの連携：ストリーム相関分析を備えたURLhausブラックリストチェック機能を組み込んでいます
• 認証情報の抽出：複数のプロトコルにわたる平文認証情報を自動検出します
• 高頻度IP分析：通信頻度の高い相手を特定し、積極的な脅威ハンティングを行います

高度なツール

• get_summary_stats：プロトコル階層統計により、トラフィック構成の概要を把握します
• get_conversations：ストリームインデックスを含むTCP/UDP通信の分析
• extract_stream_content：ページネーションに対応した正確なペイロード抽出
• get_stream_info：トークンあふれを防ぐためのコンテンツサイズの推定
• extract_stream_chunks：大きなストリームを自動で分割
• get_top_ips：積極的な分析に向けた高頻度通信相手の特定
• check_threats：ストリーム相関分析を含むIP脅威の一括スキャン
• extract_credentials：コンテキストを含む複数プロトコルの認証情報検出
• capture_packets：従来のライブトラフィックキャプチャ（互換性のために維持）

🔍 LLMを支援する仕組み

NetForensicMCPは、複雑なネットワークフォレンジックをLLMが活用できるインテリジェンスへと変換します。

• 🎯 脅威主導型分析：生データの処理よりも高リスクの指標を優先します
• 📊 構造化されたインテリジェンス：PCAPデータを実用的な脅威インテリジェンスに変換します
• ⚡ 効率的な調査：最適化されたワークフローにより、トークンの枯渇を防ぎます
• 🔗 相関エンジン：個別のネットワークイベントを結び付け、一貫性のある攻撃の経緯を構成します
• 📝 自動レポート作成：IOCと推奨事項を含む包括的なセキュリティレポートを生成します

🛡️ サイバーセキュリティのユースケース

• 🕵️ 脅威ハンティング：APT活動やC2通信を積極的に特定します
• 🔍 インシデント対応：ネットワーク証拠を迅速にフォレンジック分析します
• 📋 コンプライアンス監査：認証情報の漏えい検出とセキュリティ上の欠陥の特定
• 🚨 IOC抽出：侵害の指標を自動的に発見します
• 📖 攻撃の再構築：タイムライン分析と攻撃経路の可視化

📋 インストール

前提条件

• オペレーティングシステム：Windows、macOS、またはLinux
• Wireshark：こちらからダウンロード（tsharkがPATHに含まれている必要があります）
• Node.js：v16以降を推奨
• npm：依存関係の管理に使用

セットアップ

1. リポジトリをクローンします：

   git clone https://github.com/kylecui/NetForensicMCP.git
   cd NetForensicMCP
   

2. 依存関係をインストールします：

   npm install
   

3. MCPサーバーを起動します：

   node index.js
   

注：NetForensicMCPは、すべてのプラットフォームでtsharkを自動検出します。検出できない場合は、一般的なインストール先を検索します。

⚙️ MCPクライアントの設定

Cursor IDE

Cursor → Settings → MCPでmcp.jsonを編集します：

{
  "mcpServers": {
    "netforensicmcp": {
      "command": "node",
      "args": [
        "/ABSOLUTE_PATH_TO/NetForensicMCP/index.js"
      ]
    }
  }
}

Claude Desktop

macOS: ~/Library/Application Support/Claude/claude_desktop_config.json
Windows: %APPDATA%\Claude\claude_desktop_config.json

{
  "mcpServers": {
    "wiremcp": {
      "command": "node",
      "args": ["C:\\path\\to\\NetForensicMCP\\index.js"]
    }
  }
}

🔬 分析ワークフローの例

脅威インテリジェンス分析

# Batch threat scanning with stream correlation
check_threats → extract_credentials → get_top_ips
↓
ip_reputation (parallel) → ioc_detection → domain_analysis
↓
extract_stream_content (targeted) → comprehensive_report

高度なフォレンジック調査

# Large PCAP investigation
get_summary_stats → get_conversations → get_stream_info
↓
extract_stream_chunks → extract_stream_content (paginated)
↓
correlation_analysis → timeline_reconstruction

📊 出力例

脅威分析レポート

⚠️  THREATS DETECTED (2):
🚨 192.168.1.100 - Streams: [tcp:0, tcp:2, udp:1]
🚨 10.0.0.50 - Streams: [tcp:5]

📋 RECOMMENDED NEXT STEPS:
1. Use threat intelligence tools to analyze these IPs
2. Extract stream content for streams containing these IPs  
3. Focus investigation on: 192.168.1.100, 10.0.0.50

ストリームコンテンツ分析

Content of tcp stream 0 (chars 0-15000 of 45230):
POST /api/upload HTTP/1.1
Host: suspicious-domain.com
Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...

[TRUNCATED - More content available. Use offset=15000 to get the next chunk.]

🎯 高度な機能

スマートなトークン管理

• インテリジェントなチャンク化：コンテンツを自動的に分割し、API の制限を回避します
• ページネーションのサポート：大規模なデータセットをスムーズにナビゲートできます
• サイズの推定：コンテンツサイズを事前に評価します
• 並列処理：バッチ操作を効率的に行います

脅威インテリジェンスの統合

• URLhaus との統合：包括的なマルウェア URL データベースを照合します
• ストリーム相関分析：脅威と特定の通信フローを関連付けます
• IOC の抽出：インジケーターを自動的に検出し、検証します
• プロアクティブスキャン：上位の通信相手の脅威を評価します

🛠️ アーキテクチャ

NetForensicMCP v2.1 は、最適化された調査ワークフローを実装しています。

1. 📡 偵察フェーズ：少ないトークンでトラフィックの概要を把握します
2. 🔍 一括スキャンフェーズ：脅威を並列に検出します
3. 🧠 インテリジェンスフェーズ：脅威の相関を詳細に分析します
4. 📋 計画フェーズ：戦略的な分析対象を定めます
5. 🎯 ペイロードフェーズ：コンテンツを正確に抽出します
6. 📊 レポートフェーズ：調査結果を包括的にまとめます

🚀 ロードマップ

• 🔌 IOC ソースの拡張：VirusTotal、AlienVault OTX との統合
• 🤖 ML を活用した分析：振る舞いパターンの認識
• 📈 タイムラインの可視化：インタラクティブな攻撃の再構築
• 🔄 自動化の強化：高度なワークフロー自動化機能
• 📱 Web ダッシュボード：ブラウザーベースの分析インターフェース

🤝 貢献

皆さまからの貢献を歓迎します。詳細については、貢献ガイドラインをご覧ください。

貢献できる分野：

• 脅威インテリジェンスソース：IOC プロバイダーの追加
• プロトコルアナライザー：新たな認証情報の抽出方法
• パフォーマンスの最適化：大規模な PCAP の処理改善
• ドキュメント：ユースケースとチュートリアル

📋 ドキュメント

• English README - セットアップと使用方法の完全ガイド
• 中文说明 - 完整的なインストールと使用方法のガイド
• System Prompt Example - 効果的な分析のための LLM プロンプト例
• 系统提示词示例 - LLM による効果的な分析のためのプロンプト例
• Contributing Guide - 開発と貢献に関するガイドライン
• Changelog - バージョン履歴と更新内容

📄 ライセンス

このプロジェクトは MIT License の下でライセンスされています。詳細については、LICENSE ファイルをご覧ください。

📋 変更履歴

詳細なバージョン履歴とリリースノートについては、CHANGELOG.mdをご覧ください。

オリジナルへの謝辞

0xkoda によるオリジナルの WireMCP プロジェクトを基に、オフライン分析と脅威インテリジェンス統合のための大幅な機能強化を加えています。この高度なフォレンジックプラットフォームを実現する基盤となった MCP フレームワークとライブキャプチャ機能を提供してくださったオリジナルの作者に、深く感謝いたします。

🙏 謝辞

• 0xkoda：オリジナルの WireMCP の作成者。基盤となるライブキャプチャフレームワークをご提供いただき、ありがとうございます
• Wireshark チーム：優れた tshark パケット分析エンジンに感謝します
• Model Context Protocol コミュニティ：MCP フレームワークと仕様に感謝します
• URLhaus (abuse.ch)：包括的な脅威インテリジェンスデータの提供に感謝します
• サイバーセキュリティコミュニティ：継続的なフィードバックと改善案に感謝します

---

⚡ ネットワークフォレンジックに革新をもたらす準備はできていますか？今すぐ NetForensicMCP v2.1 を始めましょう！