Volatility3 MCP Server

Volatility3 MCP サーバー

はじめに

Volatility3 MCP サーバーは、Claude Desktop などの MCP クライアントと、高度なメモリフォレンジックフレームワークである Volatility3 を接続する強力なツールです。この連携により、LLM はシンプルな会話形式のインターフェースを通じて、メモリダンプを分析し、マルウェアを検出し、高度なメモリフォレンジックタスクを実行できます。

デモ

デモ動画

このツールについては、詳細なプレゼンテーションもご覧いただけます。

このツールで解決できること

メモリフォレンジックは複雑な分野であり、通常は専門知識とコマンドラインの操作スキルが必要です。このプロジェクトは、次の方法でそのギャップを埋めます。

• 専門家でなくても、自然言語を使ってメモリフォレンジックを実行できます
• LLM がメモリダンプを直接分析し、知見を提供できます
• 通常は複数の手作業が必要となる一般的なフォレンジックワークフローを自動化します
• メモリフォレンジックをより利用しやすく、使いやすくします

機能

• メモリダンプの分析：さまざまなプラグインを使用して、Windows および Linux のメモリダンプを分析します
• プロセスの調査：実行中のプロセスを一覧表示し、詳細を調べ、不審なアクティビティを特定します
• ネットワーク分析：ネットワーク接続を調べ、コマンド＆コントロールサーバーを検出します
• クロスプラットフォーム対応：Windows と Linux の両方のメモリダンプで動作します（macOS 対応は近日公開予定です）
• マルウェア検出：YARA ルールでメモリをスキャンし、既知のマルウェアシグネチャを特定します

設定

1. このリポジトリをクローンします：
2. 仮想環境を作成します：

   python -m venv environ
   source environ/bin/activate
   

3. 必要な依存関係をインストールします：

   pip install -r requirements.txt
   

このプロジェクトは、次の 2 つの方法で利用できます。

オプション 1：Claude Desktop を使用する

4. Claude Desktop を設定します：
   • Claude -> Settings -> Developer -> Edit Config -> claude_desktop_config.json に移動し、以下を追加します

        {
            "mcpServers": {
            "volatility3": {
                "command": "absolute/path/to/virtual/environment/bin/python3",
                "args": [
                "absolute/path/to/bridge_mcp_volatility.py"
                ]
            }
            }
        }
     

     
5. Claude Desktop を再起動し、メモリダンプの分析を開始します。

オプション 2：Cursor を使用する（SSE サーバー）

4. SSE サーバーを起動します：

   python3 start_sse_server.py
   

5. SSE サーバーを使用するように Cursor を設定します：
   • Cursor の設定を開きます
   • Features -> MCP Servers に移動します
   • URL http://127.0.0.1:8080/sse を指定して、新しい MCP サーバーを追加します
6. Cursor Composer をエージェントモードで使用し、メモリダンプの分析を開始します。

利用可能なツール

• initialize_memory_file：分析用のメモリダンプファイルを設定します
• detect_os：メモリダンプのオペレーティングシステムを特定します
• list_plugins：利用可能な Volatility3 プラグインをすべて表示します
• get_plugin_info：特定のプラグインに関する詳細情報を取得します
• run_plugin：カスタム引数を指定して、任意の Volatility3 プラグインを実行します
• get_processes：メモリダンプ内で実行中のプロセスをすべて一覧表示します
• get_network_connections：システムのネットワーク接続をすべて表示します
• list_process_open_handles：プロセスがアクセスしたファイルとリソースを調べます
• scan_with_yara：YARA ルールを使用してメモリをスキャンし、悪意のあるパターンを検出します

貢献

貢献を歓迎します！お気軽にプルリクエストを送信してください。