Volatility MCP Server

Volatility MCP Server

Volatility 3 メモリフォレンジックフレームワークを Claude やその他の MCP 互換 LLM と連携させる Model Context Protocol（MCP）サーバーです。

重要性

インドでは、人口の多さとサイバー犯罪率の上昇により、デジタルフォレンジックの調査員が膨大な未処理案件を抱えています。このツールは、次の方法でこの課題への対応を支援します。

• 複雑なコマンドではなく、自然言語を使ってメモリダンプを分析できるようにします
• メモリフォレンジックの実施に必要な技術的専門知識を軽減します
• 自動化によって分析プロセスを迅速化します
• 未処理案件の解消を支援し、司法制度により迅速な結果を提供します

メモリフォレンジックをより利用しやすくすることで、このツールはフォレンジック専門家の負担を大幅に軽減し、インド全土のサイバーセキュリティ対応を改善できます。

概要

このプロジェクトは、Model Context Protocol（MCP）を通じて、Volatility 3 Framework の強力なメモリフォレンジック機能と大規模言語モデル（LLM）をつなぎます。Volatility プラグインを MCP ツールとして公開し、Claude やその他の MCP 互換 LLM から直接呼び出せるようにすることで、自然言語を使ったメモリフォレンジック分析を実現します。

機能

• 自然言語によるメモリフォレンジック：自然言語で Claude にメモリダンプの分析を依頼できます
• プロセス分析：実行中のプロセス、親子関係、隠しプロセスを調査します
• ネットワークフォレンジック：メモリダンプ内のネットワーク接続を特定します
• マルウェア検出：コードインジェクションの可能性やその他の悪意ある痕跡を検出します
• DLL 分析：ロード済みの DLL とモジュールを調査します
• ファイルオブジェクト：メモリ内のファイルオブジェクトをスキャンします
• カスタムプラグイン：カスタム引数を指定して任意の Volatility プラグインを実行します
• メモリダンプの検出：ディレクトリ内のメモリダンプを自動的に検索します

要件

• Python 3.10 以降
• Volatility 3 Framework
• Claude Desktop またはその他の MCP 互換クライアント
• MCP Python SDK（mcp パッケージ）

インストール

1. このリポジトリをクローンします。

   git clone https://github.com/yourusername/volatility-mcp-server.git
   

2. 必要な Python パッケージをインストールします。

   pip install mcp httpx
   

3. スクリプトで Volatility のパスを設定します。

   • volatility_mcp_server.py を開き、VOLATILITY_DIR 変数を Volatility 3 のインストール先を指すように更新します。

4. Claude Desktop を設定します。

   • 次の場所にある Claude Desktop の設定ファイルを開きます。
     • Windows：%APPDATA%\Claude\claude_desktop_config.json
     • macOS：~/Library/Application Support/Claude/claude_desktop_config.json
   • サーバー設定を追加します。

   {
     "mcpServers": {
       "volatility": {
         "command": "python",
         "args": [
           "/path/to/volatility_mcp_server.py"
         ],
         "env": {
           "PYTHONPATH": "/path/to/volatility3"
         }
       }
     }
   }
   

   • /path/to/ を実際のファイルパスに置き換えます。

5. Claude Desktop を再起動して変更を適用します。

使い方

セットアップ後は、メモリダンプについて自然言語で質問するだけで、Claude に依頼できます。

• 「C:\path\to\dump.vmem にあるメモリダンプ内のすべてのプロセスを一覧表示して」
• 「C:\path\to\dump.vmem 内のネットワーク接続を表示して」
• 「メモリダンプ内のコードインジェクションを確認するため、malfind を実行して」
• 「プロセス ID 4328 でロードされている DLL は何？」
• 「C:\path\to\dump.vmem 内に隠しプロセスがないか確認して」

利用可能なツール

サーバーは、次の Volatility プラグインを MCP ツールとして公開します。

1. list_available_plugins - 使用可能なすべての Volatility プラグインを表示します
2. get_image_info - メモリダンプファイルの情報を提供します
3. run_pstree - プロセス階層を表示します
4. run_pslist - プロセスリストからプロセスを一覧表示します
5. run_psscan - 隠れている可能性のあるプロセスを含め、プロセスをスキャンします
6. run_netscan - メモリダンプ内のネットワーク接続を表示します
7. run_malfind - コードインジェクションの可能性を検出します
8. run_cmdline - プロセスのコマンドライン引数を表示します
9. run_dlllist - プロセスのロード済み DLL を一覧表示します
10. run_handles - ファイルハンドルなどのシステムハンドルを表示します
11. run_filescan - メモリ内のファイルオブジェクトをスキャンします
12. run_memmap - 特定のプロセスのメモリマップを表示します
13. run_custom_plugin - カスタム引数を指定して任意の Volatility プラグインを実行します
14. list_memory_dumps - ディレクトリ内のメモリダンプを検索します

メモリフォレンジックのワークフロー

この MCP サーバーを使うと、メモリフォレンジックのワークフローを効率化できます。

1. 初期トリアージ：

   • 「memory.vmem のプロセスツリーを表示してください」
   • 「memory.vmem のすべてのネットワーク接続を一覧表示してください」

2. 不審なプロセスの調査：

   • 「プロセス 1234 の起動に使用されたコマンドラインを教えてください」
   • 「プロセス 1234 が読み込んだ DLL をすべて表示してください」
   • 「プロセス 1234 で開いているファイルハンドルを教えてください」

3. マルウェアの探索：

   • 「memory.vmem に対して malfind を実行し、コードインジェクションがないか確認してください」
   • 「親子関係が不自然なプロセスを表示してください」
   • 「memory.vmem 内の隠しプロセスを見つけてください」

トラブルシューティング

問題が発生した場合は、次の点を確認してください。

1. パスの問題：

   • すべてのパスが絶対パスであり、Windows のパスではバックスラッシュを二重にしていることを確認してください
   • メモリダンプファイルが存在し、読み取り可能であることを確認してください

2. 権限の問題：

   • Claude Desktop を管理者として実行してください
   • Python と Volatility ディレクトリに適切な権限があることを確認してください

3. Volatility のエラー：

   • Volatility 3 が単独で正常に動作することを確認してください
   • コマンドラインで同じコマンドを直接実行してみてください

4. MCP のエラー：

   • Claude Desktop のログで MCP エラーを確認してください
   • MCP Python パッケージが正しくインストールされていることを確認してください

拡張

このサーバーは、次の方法で拡張できます。

1. Volatility プラグインを追加する
2. カスタム分析ワークフローを作成する
3. ほかのフォレンジックツールと統合する
4. レポート生成機能を追加する

ライセンス

MIT ライセンス