Your AI Assistant in Memory Forensics

メモリフォレンジックの AI アシスタント

概要

Volatility MCP は、Volatility 3 の強力なメモリ分析機能を FastAPI および Model Context Protocol（MCP）とシームレスに統合します。pslist や netscan などのプラグインを使いやすい REST API 経由で利用できるため、メモリアーティファクトを AI アシスタントや Web アプリケーションに直接接続でき、障壁なくメモリフォレンジックを実施できます。

特長

• Volatility 3 の統合： メモリイメージの分析に Volatility 3 フレームワークを活用します。
• FastAPI バックエンド： Volatility プラグインとやり取りするための RESTful API を提供します。
• Web フロントエンドのサポート（今後の機能）： インタラクティブな分析を行うため、Web ベースのフロントエンドとの接続を想定して設計されています。
• Model Context Protocol（MCP）： Claude Desktop などの MCP クライアントとの標準化された通信を可能にします。
• プラグインのサポート： プロセス一覧を表示する pslist やネットワーク接続を分析する netscan など、さまざまな Volatility プラグインをサポートします。

アーキテクチャ

このプロジェクトのアーキテクチャは、次のコンポーネントで構成されています。

• MCP クライアント： FastAPI バックエンドとやり取りする、Claude Desktop などの MCP クライアントです。
• FastAPI サーバー： Volatility プラグインを API エンドポイントとして公開する、Python ベースのサーバーです。
• Volatility 3： 分析を実行するメモリフォレンジックフレームワークです。

このアーキテクチャにより、Claude Desktop などの MCP クライアントを通じてメモリイメージを分析できます。ユーザーは、「メモリイメージ x のプロセス一覧を表示して」や「確立されたすべての外部接続を表示して」といった自然言語のプロンプトを使用して、メモリフォレンジック分析を実行できます。

はじめに

前提条件

• システムに Python 3.7 以降がインストールされていること
• Volatility 3 のバイナリがインストールされていること（Volatility 3 インストールガイドを参照）。また、環境パスに VOLATILITY_BIN という名前で追加されていること

インストール

1. リポジトリをクローンします。

   git clone <repository_url>
   cd <repository_directory>
   

2. 必要な Python 依存関係をインストールします。

   pip install -r requirements.txt
   

3. FastAPI サーバーを起動して、Volatility 3 API を公開します。

   uvicorn volatility_fastapi_server:app 
   

4. Claude Desktop をインストールします（Claude Desktopを参照）。

5. Claude Desktop を Volatility MCP クライアントとして設定するには、Claude → Settings → Developer → Edit Config に移動し、claude_desktop_config.json ファイルを見つけて、次の設定を追加してください。

6. config.json ファイルの -i オプションで、メモリイメージファイルのディレクトリパスを指定することに注意してください。

       {
        "mcpServers": {
          "vol": {
            "command": "python",
            "args": [
              "/ABSOLUTE_PATH_TO_MCP-SERVER/vol_mcp_server.py", "-i",     
              "/ABSOLUTE_PATH_TO_MEMORY_IMAGE/<memory_image>"
            ]
          }
        }
    }
   

または、このファイルを直接更新してください。

/Users/YOUR_USER/Library/Application Support/Claude/claude_desktop_config.json

使用方法

1. 上記の説明に従って FastAPI サーバーを起動します。
2. MCP クライアント（例：Claude Desktop）を FastAPI サーバーに接続します。
3. 対象のメモリイメージに関する質問をして、プロンプトを開始します。たとえば、実行中のプロセスの表示、プロセス x のツリー構造グラフの作成、または RFC1918 に該当するすべての外部接続の表示を依頼します。

今後の機能と拡張

• Volatility Python のネイティブ統合： サブプロセスとして Volatility バイナリを使用するのではなく、Volatility Python SDK をコードベースに直接組み込みます。
• Yara の統合： メモリからプロセスをダンプし、Yara ルールでスキャンしてマルウェアを分析する機能を実装します。
• 複数イメージの分析： 複数のメモリイメージを同時に分析し、イベントを関連付けて、異なるシステム間のパターンを特定できるようにします。
• Volatility プラグインの追加： メモリ分析の対象範囲を広げるため、Volatility プラグインを追加します。
• GUI の拡張： 対話的なメモリ分析と可視化を行う、使いやすいウェブインターフェースを開発します。
• レポート生成の自動化： メモリ分析で判明した内容をまとめた詳細なレポートの生成を自動化します。
• 高度な脅威検出： 高度な脅威や異常を検出するための高度な手法を取り入れます。

貢献

貢献を歓迎します！貢献するには、次の手順に従ってください。

1. このリポジトリをフォークします。
2. 新しいブランチを作成します（git checkout -b feature/my-feature）。
3. 変更をコミットします（git commit -m 'Add some feature'）。
4. ブランチにプッシュします（git push origin feature/my-feature）。
5. プルリクエストを作成します。