Netforensicmcp

NetForensicMCP v2.1

（原名 WireMCP，现专注于离线取证分析）

English | 中文

NetForensicMCP（原名 WireMCP）是一个 Model Context Protocol（MCP）服务，旨在为大语言模型（LLM）提供高级离线网络流量分析和威胁情报能力。NetForensicMCP 基于 Wireshark 的 tshark 构建，为网络安全专业人员、威胁猎手和网络取证调查人员提供全面的 PCAP 分析工具。

🚀 主要功能

核心分析引擎

• 智能流分析：通过智能内容分块处理大型 PCAP 文件，避免令牌溢出
• 威胁情报集成：内置 URLhaus 黑名单检查，并支持流关联
• 凭据提取：自动检测多种协议中的明文凭据
• 高频 IP 分析：通过识别主要通信对象，主动开展威胁狩猎

高级工具

• get_summary_stats：协议层级统计，概览流量组成
• get_conversations：TCP/UDP 会话分析，并提供流索引
• extract_stream_content：精确提取负载，并支持分页
• get_stream_info：估算内容大小，避免令牌溢出
• extract_stream_chunks：自动分割大型数据流
• get_top_ips：识别高频通信对象，支持主动分析
• check_threats：批量扫描 IP 威胁，并支持流关联
• extract_credentials：检测多种协议中的凭据，并提供上下文
• capture_packets：旧版实时流量捕获（为兼容性而保留）

🔍 如何赋能 LLM

NetForensicMCP 将复杂的网络取证转化为 LLM 可访问的情报，具体方式如下：

• 🎯 威胁驱动分析：优先关注高风险指标，而非处理原始数据
• 📊 结构化情报：将 PCAP 数据转化为可用于行动的威胁情报
• ⚡ 高效调查：优化工作流，避免令牌耗尽
• 🔗 关联引擎：将分散的网络事件串联成连贯的攻击叙事
• 📝 自动化报告：生成包含 IOC 和建议的全面安全报告

🛡️ 网络安全应用场景

• 🕵️ 威胁狩猎：主动识别 APT 活动和 C2 通信
• 🔍 事件响应：快速取证分析网络证据
• 📋 合规审计：检测凭据泄漏并识别安全漏洞
• 🚨 IOC 提取：自动发现失陷指标
• 📖 攻击重建：分析时间线并可视化攻击路径

📋 安装

前置条件

• 操作系统：Windows、macOS 或 Linux
• Wireshark：在此下载（tshark 必须位于 PATH 中）
• Node.js：建议使用 v16+
• npm：用于依赖管理

设置

1. 克隆代码仓库：

   git clone https://github.com/kylecui/NetForensicMCP.git
   cd NetForensicMCP
   

2. 安装依赖：

   npm install
   

3. 启动 MCP 服务：

   node index.js
   

注意：NetForensicMCP 会自动检测 tshark；如果未检测到，则会在所有平台上回退到常见安装路径。

⚙️ MCP 客户端配置

Cursor IDE

在 Cursor 的“设置”→“MCP”中编辑 mcp.json：

{
  "mcpServers": {
    "netforensicmcp": {
      "command": "node",
      "args": [
        "/ABSOLUTE_PATH_TO/NetForensicMCP/index.js"
      ]
    }
  }
}

Claude Desktop

macOS：~/Library/Application Support/Claude/claude_desktop_config.json
Windows：%APPDATA%\Claude\claude_desktop_config.json

{
  "mcpServers": {
    "wiremcp": {
      "command": "node",
      "args": ["C:\\path\\to\\NetForensicMCP\\index.js"]
    }
  }
}

🔬 示例分析工作流

威胁情报分析

# Batch threat scanning with stream correlation
check_threats → extract_credentials → get_top_ips
↓
ip_reputation (parallel) → ioc_detection → domain_analysis
↓
extract_stream_content (targeted) → comprehensive_report

高级取证

# Large PCAP investigation
get_summary_stats → get_conversations → get_stream_info
↓
extract_stream_chunks → extract_stream_content (paginated)
↓
correlation_analysis → timeline_reconstruction

📊 示例输出

威胁分析报告

⚠️  THREATS DETECTED (2):
🚨 192.168.1.100 - Streams: [tcp:0, tcp:2, udp:1]
🚨 10.0.0.50 - Streams: [tcp:5]

📋 RECOMMENDED NEXT STEPS:
1. Use threat intelligence tools to analyze these IPs
2. Extract stream content for streams containing these IPs  
3. Focus investigation on: 192.168.1.100, 10.0.0.50

流内容分析

Content of tcp stream 0 (chars 0-15000 of 45230):
POST /api/upload HTTP/1.1
Host: suspicious-domain.com
Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...

[TRUNCATED - More content available. Use offset=15000 to get the next chunk.]

🎯 高级功能

智能令牌管理

• 智能分块：自动分割内容，避免触及 API 限制
• 分页支持：轻松浏览大型数据集
• 大小估算：主动评估内容大小
• 并行处理：高效执行批量操作

威胁情报集成

• URLhaus 集成：全面检查恶意软件 URL 数据库
• 流关联：将威胁关联到特定通信流
• IOC 提取：自动发现并验证指标
• 主动扫描：评估热门通信方的威胁

🛠️ 架构

NetForensicMCP v2.1 实现了优化的调查工作流：

1. 📡 侦察阶段：低令牌用量的流量概览
2. 🔍 批量扫描阶段：并行威胁检测
3. 🧠 情报阶段：深入关联威胁
4. 📋 规划阶段：制定战略分析目标
5. 🎯 载荷阶段：精准提取内容
6. 📊 报告阶段：全面汇总调查结果

🚀 路线图

• 🔌 扩展 IOC 来源：集成 VirusTotal、AlienVault OTX
• 🤖 ML 驱动的分析：识别行为模式
• 📈 时间线可视化：交互式重建攻击过程
• 🔄 增强自动化：高级工作流自动化功能
• 📱 Web 仪表板：基于浏览器的分析界面

🤝 参与贡献

欢迎贡献！详情请参阅我们的贡献指南。

可贡献的领域：

• 威胁情报来源：增加 IOC 提供方
• 协议分析器：新增凭据提取方法
• 性能优化：改进大型 PCAP 的处理
• 文档：使用案例和教程

📋 文档

• 英文 README - 完整的设置和使用指南
• 中文说明 - 完整的安装和使用指南
• 系统提示词示例 - 用于有效分析的大模型提示词示例
• 系统提示词示例 - 用于有效分析的大模型提示词示例
• 贡献指南 - 开发与贡献指南
• 更新日志 - 版本历史与更新内容

📄 许可证

本项目采用 MIT 许可证授权，详情请参阅 LICENSE 文件。

📋 更新日志

详细版本历史和发行说明请参阅 CHANGELOG.md。

原始项目致谢

基于 0xkoda 的原始 WireMCP 项目，并针对离线分析和威胁情报集成进行了重大增强。我们感谢原作者提供了基础 MCP 框架和实时捕获功能，使这个高级取证平台成为可能。

🙏 致谢

• 0xkoda：原始 WireMCP 创作者——感谢你提供基础实时捕获框架
• Wireshark Team：感谢你们打造出色的 tshark 数据包分析引擎
• Model Context Protocol Community：感谢你们提供 MCP 框架和规范
• URLhaus (abuse.ch)：感谢你们提供全面的威胁情报数据
• 网络安全社区：感谢你们持续提供反馈和改进建议

---

⚡ 准备好革新网络取证了吗？立即开始使用 NetForensicMCP v2.1！