Self-Assembling Forensic MCP Server (FastMCP / Python)

Ein modularer Digital Forensics and Incident Response (DFIR) Model Context Protocol (MCP) Server, erstellt mit Python und FastMCP (mcp>=2.0.0).

Er erkennt dynamisch Host- und Container-Forensik-Werkzeuge beim Start und baut automatisch funktionale Werkzeuge, Ressourcen und Triage-Prompts für lokale LLMs und KI-Agenten (Ollama, Claude, Cursor, Antigravity usw.) zusammen.

🌟 Funktionen

• 🔍 Dynamische Fähigkeitserkennung: Durchsucht Host-Umgebungspfade, installierte Binärdateien (exiftool, strings, volatility3, binwalk, tshark, objdump, gdb, yara) und Docker-Laufzeitumgebungen. Fehlende Werkzeuge werden ohne Absturz gemeldet.

• 🧩 Selbstzusammenbauende Werkzeug-Primitive: Registriert automatisch nur die in der Host-Umgebung verfügbaren Werkzeuge.

• 🛡️ Netzwerklos & offline bereit: Integrierte Offline-Bedrohungsintelligenz-Datenbank mit bekannten Beispiel-Signaturen (EICAR, WannaCry, Mimikatz) für sichere, datenschutzfreie Incident Response.

• 📋 Manipulationssichere Beweiskette: Jede Werkzeugausführung, jedes untersuchte Artefakt, jede SHA-256-Prüfsumme und jeder Aktionsparameter wird kryptografisch gehasht und in einem nur-anhängbaren Ledger protokolliert (evidence/chain_of_custody.jsonl).

• 🩺 Selbstberichtende Gesundheit & Ressourcen: Echtzeit-Fähigkeitsmatrix (forensics://capabilities), Aufbewahrungsprotokolle (forensics://custody) und Systemgesundheit (forensics://health).

• ⚡ Dualer Transport: Unterstützt standardmäßiges STDIO für native MCP-Clients (Cursor, Claude, Antigravity) und SSE/HTTP für Web-LLM-Agenten (Ollama, Open WebUI).

Related MCP server: findevil-agent

🚀 Schnellstart

1. Voraussetzungen

• Python 3.10+ (oder uv)

2. Server starten

Option A: Nativer STDIO-Transport (Für lokale Agenten / Cursor / Claude)

cd /home/b47m4n/Projects/forensics-mcp-framework
uv run src/server.py

Option B: SSE / HTTP-Transport (Für Web / Remote-LLMs)

cd /home/b47m4n/Projects/forensics-mcp-framework
uv run src/server.py --transport sse --port 8000

🔌 Verbindung zu lokalen LLMs & Agenten

1. Antigravity / Claude / Cursor (claude_desktop_config.json / mcp.json)

{
  "mcpServers": {
    "forensic-analyzer": {
      "command": "uv",
      "args": [
        "--directory",
        "/home/b47m4n/Projects/forensics-mcp-framework",
        "run",
        "src/server.py"
      ]
    }
  }
}

2. Lokales LLM via Ollama + MCP

Verbinden Sie Ihr lokales Modell (z. B. llama3.1, qwen2.5-coder) über den SSE-Endpunkt: http://localhost:8000/sse

🛠️ Katalog der erkannten Werkzeuge

📂 Projektarchitektur

forensics-mcp-framework/
├── pyproject.toml
├── .env.example
├── README.md
├── evidence/                  # Evidence locker & chain of custody ledger
│   ├── suspect_photo.jpg
│   ├── eicar_test.com
│   └── chain_of_custody.jsonl
└── src/
    ├── server.py              # Master FastMCP bootstrap & dynamic assembler
    ├── core/
    │   ├── discovery.py       # Host & container capability scanner
    │   ├── custody.py         # Tamper-evident append-only chain of custody
    │   └── health.py          # System diagnostics & health reporter
    ├── tools/
    │   ├── metadata.py        # ExifTool & MIME mismatch detector
    │   ├── strings_ioc.py     # String & IOC scanner (IP, URL, Base64, shell)
    │   ├── threat_intel.py    # Offline/online threat intelligence
    │   ├── memory_vol.py      # Volatility 3 memory analysis engine
    │   └── dynamic_cli.py     # CLI wrappers (binwalk, tshark, objdump, gdb)
    ├── resources/
    │   └── system_resources.py# MCP Resources
    └── prompts/
        └── triage_prompts.py  # Structured DFIR workflows