E01 LNK MCP Server for Digital Forensics

# E01 LNK MCP Server for Digital Forensics E01 디스크 이미지를 분석하여 윈도우 단축파일(LNK) 아티팩트를 추출하고 파싱하는 **MCP(Model Context Protocol) 서버**입니다. MCP를 지원하는 에이전트와 연동하여 분석을 수행할 수 있습니다. ## ✨ 주요 기능 - **High Entropy 해결**: `pyewf`를 사용하여 압축된 E01 컨테이너를 올바르게 처리합니다. - **자동 파티션 탐지**: MBR/GPT 파티션을 분석하여 NTFS 파일시스템을 자동으로 찾습니다. - **5가지 분석 도구**: 1. `scan_lnk_in_e01`: 전체 LNK 파일 검색 2. `extract_lnk_by_inode`: 특정 LNK 파일 추출 3. `parse_lnk`: LNK 메타데이터 상세 파싱 4. `auto_extract_and_parse_lnk`: 검색+추출+파싱 자동화 (DFIR 요약) 5. `extract_lnk_timeline`: 타임라인 분석 ## 설치 방법 (Windows 기준) 이 프로젝트는 **Python 3.12** 환경에 최적화되어 있습니다. 의존성 관리를 위해 `uv` 사용을 권장합니다. ### 1. Python 3.12 가상환경 생성 ```powershell uv python install 3.12 uv venv .venv --python 3.12 .venv\Scripts\activate ``` ### 2. 의존성 설치 pytsk3와 libewf의 호환성을 위해 반드시 아래 명령어로 설치하세요. ```powershell uv pip install -r requirements.txt ``` 🚀 사용 방법 (Claude Desktop) claude_desktop_config.json 파일에 아래 설정을 추가하세요. (경로는 본인의 설치 위치에 맞게 수정해야 합니다.) ```JSON { "mcpServers": { "lnk-forensics": { "command": "C:\\Path\\To\\Your\\.venv\\Scripts\\python.exe", "args": [ "C:\\Path\\To\\Your\\e01_lnk_mcp_server.py" ] } } } ``` ⚠️ 주의사항 Python 버전: requirements.txt에 명시된 pytsk3 휠 파일은 Python 3.12 전용입니다. 다른 버전을 사용할 경우 해당 버전에 맞는 .whl 링크로 교체해야 합니다.