Самособирающийся криминалистический MCP-сервер (FastMCP / Python)

Модульный сервер Model Context Protocol (MCP) для цифровой криминалистики и реагирования на инциденты (DFIR), построенный на Python и FastMCP (mcp>=2.0.0).

Он динамически обнаруживает криминалистические утилиты хоста и контейнеров при запуске и автоматически собирает функциональные инструменты, ресурсы и подсказки для триажа для локальных LLM и AI-агентов (Ollama, Claude, Cursor, Antigravity и т.д.).

🌟 Возможности

• 🔍 Динамическое обнаружение возможностей: Проверяет пути окружения хоста, установленные бинарные файлы (exiftool, strings, volatility3, binwalk, tshark, objdump, gdb, yara) и среды выполнения Docker. Отсутствующие инструменты корректно сообщаются без сбоев.

• 🧩 Самособирающиеся примитивы инструментов: Автоматически регистрирует только те инструменты, которые доступны в окружении хоста.

• 🛡️ Готовность к автономной работе без сети: Встроенная офлайн-база данных угроз с известными сигнатурами образцов (EICAR, WannaCry, Mimikatz) для безопасного реагирования на инциденты без утечки данных.

• 📋 Цепочка хранения, устойчивая к взлому: Каждое выполнение инструмента, проверенный артефакт, SHA-256 контрольная сумма и параметр действия криптографически хэшируются и записываются в журнал только для добавления (evidence/chain_of_custody.jsonl).

• 🩺 Самодиагностика здоровья и ресурсов: Матрица возможностей в реальном времени (forensics://capabilities), журналы хранения (forensics://custody) и состояние системы (forensics://health).

• ⚡ Двойной транспорт: Поддерживает стандартный STDIO для родных MCP-клиентов (Cursor, Claude, Antigravity) и SSE/HTTP для веб-LLM-агентов (Ollama, Open WebUI).

Related MCP server: findevil-agent

🚀 Быстрый старт

1. Предварительные требования

• Python 3.10+ (или uv)

2. Запуск сервера

Вариант A: Родной транспорт STDIO (для локальных агентов / Cursor / Claude)

cd /home/b47m4n/Projects/forensics-mcp-framework
uv run src/server.py

Вариант B: Транспорт SSE / HTTP (для веб / удаленных LLM)

cd /home/b47m4n/Projects/forensics-mcp-framework
uv run src/server.py --transport sse --port 8000

🔌 Подключение к локальным LLM и агентам

1. Antigravity / Claude / Cursor (claude_desktop_config.json / mcp.json)

{
  "mcpServers": {
    "forensic-analyzer": {
      "command": "uv",
      "args": [
        "--directory",
        "/home/b47m4n/Projects/forensics-mcp-framework",
        "run",
        "src/server.py"
      ]
    }
  }
}

2. Локальная LLM через Ollama + MCP

Подключите свою локальную модель (например, llama3.1, qwen2.5-coder) через конечную точку SSE: http://localhost:8000/sse

🛠️ Каталог обнаруженных инструментов

📂 Архитектура проекта

forensics-mcp-framework/
├── pyproject.toml
├── .env.example
├── README.md
├── evidence/                  # Evidence locker & chain of custody ledger
│   ├── suspect_photo.jpg
│   ├── eicar_test.com
│   └── chain_of_custody.jsonl
└── src/
    ├── server.py              # Master FastMCP bootstrap & dynamic assembler
    ├── core/
    │   ├── discovery.py       # Host & container capability scanner
    │   ├── custody.py         # Tamper-evident append-only chain of custody
    │   └── health.py          # System diagnostics & health reporter
    ├── tools/
    │   ├── metadata.py        # ExifTool & MIME mismatch detector
    │   ├── strings_ioc.py     # String & IOC scanner (IP, URL, Base64, shell)
    │   ├── threat_intel.py    # Offline/online threat intelligence
    │   ├── memory_vol.py      # Volatility 3 memory analysis engine
    │   └── dynamic_cli.py     # CLI wrappers (binwalk, tshark, objdump, gdb)
    ├── resources/
    │   └── system_resources.py# MCP Resources
    └── prompts/
        └── triage_prompts.py  # Structured DFIR workflows