Skip to main content
Glama
deenesjakoruzh
Ghosthunter5599

Forensics MCP Server

by Ghosthunter5599
OverviewSchemaRelated ServersScoreDiscussions
Python
Hybrid

自己組織化フォレンジックMCPサーバー (FastMCP / Python)

PythonとFastMCP（mcp>=2.0.0）で構築された、モジュール式のデジタルフォレンジックおよびインシデントレスポンス（DFIR）**Model Context Protocol（MCP）**サーバーです。

起動時にホストおよびコンテナのフォレンジックユーティリティを動的に検出し、ローカルのLLMやAIエージェント（Ollama、Claude、Cursor、Antigravityなど）向けに機能ツール、リソース、トリアージプロンプトを自動的に自己組織化します。

🌟 特徴

  • 🔍 動的な機能検出: ホスト環境のパス、インストール済みバイナリ（exiftool、strings、volatility3、binwalk、tshark、objdump、gdb、yara）、およびDockerランタイムを調査します。欠落しているツールはクラッシュせずに適切に報告されます。

  • 🧩 自己組織化ツールプリミティブ: ホスト環境で利用可能なツールのみを自動的に登録します。

  • 🛡️ エアギャップ＆オフライン対応: 既知のサンプルシグネチャ（EICAR、WannaCry、Mimikatz）を備えた組み込みのオフライン脅威インテリジェンスデータベースにより、安全でデータ漏洩ゼロのインシデントレスポンスを実現します。

  • 📋 改ざん防止の証拠保管連鎖: すべてのツール実行、検査されたアーティファクト、SHA-256チェックサム、およびアクションパラメータは、暗号学的にハッシュ化され、追加専用台帳（evidence/chain_of_custody.jsonl）に記録されます。

  • 🩺 自己報告によるヘルスとリソース: リアルタイムの機能マトリックス（forensics://capabilities）、保管連鎖ログ（forensics://custody）、およびシステムヘルス（forensics://health）。

  • ⚡ デュアルトランスポート: ネイティブMCPクライアント（Cursor、Claude、Antigravity）向けの標準STDIOと、Web LLMエージェント（Ollama、Open WebUI）向けのSSE/HTTPをサポートします。

Related MCP server: findevil-agent

🚀 クイックスタート

1. 前提条件

  • Python 3.10以上（またはuv）

2. サーバーの実行

オプションA: ネイティブSTDIOトランスポート（ローカルエージェント / Cursor / Claude向け）

cd /home/b47m4n/Projects/forensics-mcp-framework
uv run src/server.py

オプションB: SSE / HTTPトランスポート（Web / リモートLLM向け）

cd /home/b47m4n/Projects/forensics-mcp-framework
uv run src/server.py --transport sse --port 8000

🔌 ローカルLLMおよびエージェントへの接続

1. Antigravity / Claude / Cursor（claude_desktop_config.json / mcp.json）

{
  "mcpServers": {
    "forensic-analyzer": {
      "command": "uv",
      "args": [
        "--directory",
        "/home/b47m4n/Projects/forensics-mcp-framework",
        "run",
        "src/server.py"
      ]
    }
  }
}

2. Ollama + MCP経由のローカルLLM

SSEエンドポイント経由でローカルモデル（例：llama3.1、qwen2.5-coder）に接続します： http://localhost:8000/sse

🛠️ 検出ツールカタログ

ツール

カテゴリ

動的条件

説明

extract_metadata

メタデータ＆ファイル

常に利用可能

ハッシュ（MD5/SHA256）、EXIFタグを計算し、MIMEの不一致を検出します

extract_strings

静的解析

常に利用可能

印刷可能なASCII文字列とUnicode文字列を抽出します

scan_iocs

脅威検出

常に利用可能

C2 URL、IPアドレス、Base64ブロブ、コマンド実行をスキャンします

check_threat_intel

脅威インテリジェンス

常に利用可能

オフラインシグネチャおよびオプションのライブAPIに対してハッシュをチェックします

system_health_check

診断

常に利用可能

ヘルスステータス、ストレージチェック、ツールの準備状態

windows_image_info

メモリフォレンジック

vol または Docker

Volatility 3 windows.info

windows_pslist

メモリフォレンジック

vol または Docker

Volatility 3 windows.pslist

windows_pstree

メモリフォレンジック

vol または Docker

Volatility 3 windows.pstree

windows_netscan

メモリフォレンジック

vol または Docker

Volatility 3 windows.netscan

windows_malfind

メモリフォレンジック

vol または Docker

Volatility 3 windows.malfind（インジェクションコード）

binwalk_scan

ファイルカービング

binwalk が存在する場合

ファームウェアシグネチャとファイルシステムのカービング

pcap_analyze

ネットワークフォレンジック

tshark が存在する場合

PCAPネットワークパケットキャプチャを解析します

binary_disassemble

リバースエンジニアリング

objdump が存在する場合

バイナリのマシン命令を逆アセンブルします

gdb_inspect

デバッグ

gdb が存在する場合

自動化されたバッチデバッグ検査

yara_scan

シグネチャマッチ

yara が存在する場合

YARAルールファイルに対して証拠をスキャンします

📂 プロジェクトアーキテクチャ

forensics-mcp-framework/
├── pyproject.toml
├── .env.example
├── README.md
├── evidence/                  # Evidence locker & chain of custody ledger
│   ├── suspect_photo.jpg
│   ├── eicar_test.com
│   └── chain_of_custody.jsonl
└── src/
    ├── server.py              # Master FastMCP bootstrap & dynamic assembler
    ├── core/
    │   ├── discovery.py       # Host & container capability scanner
    │   ├── custody.py         # Tamper-evident append-only chain of custody
    │   └── health.py          # System diagnostics & health reporter
    ├── tools/
    │   ├── metadata.py        # ExifTool & MIME mismatch detector
    │   ├── strings_ioc.py     # String & IOC scanner (IP, URL, Base64, shell)
    │   ├── threat_intel.py    # Offline/online threat intelligence
    │   ├── memory_vol.py      # Volatility 3 memory analysis engine
    │   └── dynamic_cli.py     # CLI wrappers (binwalk, tshark, objdump, gdb)
    ├── resources/
    │   └── system_resources.py# MCP Resources
    └── prompts/
        └── triage_prompts.py  # Structured DFIR workflows
Install Server
F
license - not found
A
quality
C
maintenance

How are these scores calculated?

Maintenance

–Maintainers
–Response time
–Release cycle
–Releases (12mo)
Commit activity

Resources

Unclaimed servers have limited discoverability.

Looking for Admin?

If you are the server author, to access and configure the admin panel.

Tools

Related MCP Servers

  • Velociraptor MCP Server

    snoe-findley
    A
    license
    -
    quality
    D
    maintenance
    Enables AI agents to interface with Velociraptor for digital forensics and incident response tasks, including file/memory scans, remediation actions, and artifact collection across multiple operating systems.
    1
    MIT

  • findevil-agent

    povfarwa
    A
    license
    -
    quality
    B
    maintenance
    Enables autonomous digital forensics and incident response through 21 typed forensic tools covering disk, memory, registry, network, timeline, carving, and patterns, integrated with AI-driven reasoning and self-correction.
    MIT

  • SIFTGuard

    sodiq-code
    A
    license
    -
    quality
    B
    maintenance
    Enables autonomous digital forensics and incident response by wrapping SIFT Workstation tools as MCP tools and orchestrating a multi-agent AI pipeline for evidence analysis and remediation planning.
    2
    MIT

  • Veritas MCP

    balajinrrbgm
    A
    license
    -
    quality
    C
    maintenance
    Enables AI agents to conduct evidence-grounded forensic triage of compromised hosts, with architectural safeguards against evidence spoliation and hallucinated findings, supporting self-correction and chain of custody.
    MIT

View all related MCP servers

Related MCP Connectors

  • agentbay-mcp

    Persistent memory and knowledge management for AI agents with semantic search and 50+ tools.

  • nucleus

    Sovereign Agent OS — Persistent Memory, Governance & Compliance for AI Agents.

  • OpenAkashic

    Shared long-term memory vault for AI agents with 20 MCP tools.

View all MCP Connectors

Latest Blog Posts

MCP directory API

We provide all the information about MCP servers via our MCP API.

curl -X GET 'https://glama.ai/api/mcp/v1/servers/Ghosthunter5599/Forensics-MCP-Server-FastMCP-Ollama'

If you have feedback or need assistance with the MCP directory API, please join our Discord server