Mac Forensics MCP

mac_forensics-mcp

用于macOS数字取证和事件响应（DFIR）的MCP（模型上下文协议）服务器。

概述

此MCP服务器为macOS分类收集提供了结构化的取证分析工具，减少了调查LLM事件时的上下文开销。

主要优势：

• 结构化查询，而不是通过大量文件的原始grep
• 自动时间戳归一化（Mac绝对时间→ UTC)
• 预构建的安全事件检测模式
• 交叉伪影相关性和时间线构建
• 分页以避免上下文溢出
• 发现文物，了解可用物品

23工具 涵盖：统一日志、FSEvents、Spotlight、Plists、SQLite数据库、扩展属性、系统日志等。

安装

cd /opt/macOS/mac_forensics-mcp

# Create virtual environment and install dependencies
uv venv
uv pip install -e .

Claude代码配置

选项1：使用 claude mcp add （推荐）

# Add to user settings (available in all projects)
claude mcp add mac-forensics -s user -- /opt/macOS/mac_forensics-mcp/.venv/bin/python -m mac_forensics_mcp.server

# Or add to current project only
claude mcp add mac-forensics -- /opt/macOS/mac_forensics-mcp/.venv/bin/python -m mac_forensics_mcp.server

要验证是否已添加：

claude mcp list

要删除：

claude mcp remove mac-forensics -s user

选项2：手动JSON配置

增添 ~/.claude/settings.json （用户级别）或 .claude/settings.json （项目层面）：

{
  "mcpServers": {
    "mac-forensics": {
      "command": "/opt/macOS/mac_forensics-mcp/.venv/bin/python",
      "args": ["-m", "mac_forensics_mcp.server"],
      "env": {}
    }
  }
}

可用工具（23）

发现

统一日志

Plist文件

数据库

用户分析

FS活动

扩展属性和聚光灯

系统日志

相关性与调查

安全事件类型

这 mac_unified_logs_security_events 该工具支持以下事件类型：

调查事件类型

这 mac_investigate_event 该工具支持对以下事件类型进行深入调查：

使用示例

在分类中发现工件

mac_list_artifacts(artifacts_dir="/path/to/triage")

查找用户删除事件

mac_unified_logs_security_events(
    log_path="/path/to/unified_logs.csv",
    event_type="user_deleted"
)

用户删除深度调查

mac_investigate_event(
    artifacts_dir="/path/to/triage",
    event_type="user_deletion",
    target="username"
)

获取Safari搜索历史记录

mac_safari_searches(
    db_path="/path/to/History.db",
    query_filter="delete"
)

从plist读取已删除的用户

mac_plist_read(
    plist_path="/path/to/com.apple.preferences.accounts.plist",
    key_path="deletedUsers"
)

查找外部设备活动

mac_parse_fsck_apfs_log(
    log_path="/path/to/fsck_apfs.log",
    external_only=True
)

搜索特定卷

mac_parse_fsck_apfs_log(
    log_path="/path/to/fsck_apfs.log",
    volume_filter="suspicious_volume"
)

构建用户活动时间线

mac_get_user_timeline(
    artifacts_dir="/path/to/triage",
    username="username"
)

在FSEvents中搜索文件活动

mac_fsevents_search(
    fseventsd_path="/path/to/.fseventsd",
    path_filter="/Users/username",
    event_types=["created", "deleted"]
)

配置

外部刀具路径

外部取证工具可以通过环境变量进行配置。如果未设置，则默认为 /opt/macOS/ 路径。

自定义路径示例：

{
  "mcpServers": {
    "mac-forensics": {
      "command": "/opt/macOS/mac_forensics-mcp/.venv/bin/python",
      "args": ["-m", "mac_forensics_mcp.server"],
      "env": {
        "MAC_FORENSICS_UNIFIEDLOG_ITERATOR_PATH": "/custom/path/unifiedlog_iterator",
        "MAC_FORENSICS_FSEPARSER_PATH": "/custom/path/FSEParser.py",
        "MAC_FORENSICS_SPOTLIGHT_PARSER_PATH": "/custom/path/spotlight_parser.py"
      }
    }
  }
}

依赖项

• Python 3.10+
• uv（用于虚拟环境和包管理）
• mcp>=1.0.0
• biplist（可选，用于格式错误的plist）

外部工具（可选，用于解析原始工件）：

• unifiedlog_iterator -用于解析.log归档包
• FSEParser -用于解析FSEvents（.feventsd）
• spotlight_parser -用于解析Spotlight索引

建筑

mac_forensics_mcp/
├── server.py                # MCP server and tool definitions
├── config.py                # Configurable external tool paths
├── parsers/
│   ├── plist_parser.py      # Plist file parsing
│   ├── unified_log_parser.py # Unified log analysis
│   ├── sqlite_parser.py     # SQLite databases (KnowledgeC, Safari, TCC)
│   ├── fsevents_parser.py   # FSEvents parsing
│   ├── spotlight_parser.py  # Spotlight index parsing
│   ├── xattr_parser.py      # Extended attributes parsing
│   └── fsck_apfs_parser.py  # fsck_apfs.log parsing
├── correlation/
│   ├── timeline_builder.py  # Cross-artifact timeline correlation
│   └── event_investigator.py # Event-specific investigation
└── utils/
    ├── timestamps.py        # Mac/WebKit/HFS timestamp conversion
    └── discovery.py         # Artifact discovery

法医价值

此MCP服务器是基于真实的macOS DFIR调查开发的。关键取证能力：

参考文献

• SANS FOR518海报
• mac4n6人工制品电子表格
• SUMURI Mac取证最佳实践指南2025
• 谷歌云-查看macOS统一日志

贡献

基于从macOS DFIR调查中吸取的经验教训。欢迎使用其他工具和事件模式。

______________________________________________________________________

作者

偏航距离

专为DFIR社区打造。