E01 LNK MCP Server for Digital Forensics
E01 디스크 이미지를 분석하여 윈도우 단축파일(LNK) 아티팩트를 추출하고 파싱하는 MCP(Model Context Protocol) 서버입니다. MCP를 지원하는 에이전트와 연동하여 분석을 수행할 수 있습니다.
✨ 주요 기능
- High Entropy 해결:
pyewf를 사용하여 압축된 E01 컨테이너를 올바르게 처리합니다. - 자동 파티션 탐지: MBR/GPT 파티션을 분석하여 NTFS 파일시스템을 자동으로 찾습니다.
- 5가지 분석 도구:
scan_lnk_in_e01: 전체 LNK 파일 검색extract_lnk_by_inode: 특정 LNK 파일 추출parse_lnk: LNK 메타데이터 상세 파싱auto_extract_and_parse_lnk: 검색+추출+파싱 자동화 (DFIR 요약)extract_lnk_timeline: 타임라인 분석
설치 방법 (Windows 기준)
이 프로젝트는 Python 3.12 환경에 최적화되어 있습니다. 의존성 관리를 위해 uv 사용을 권장합니다.
1. Python 3.12 가상환경 생성
uv python install 3.12
uv venv .venv --python 3.12
.venv\Scripts\activate
2. 의존성 설치
pytsk3와 libewf의 호환성을 위해 반드시 아래 명령어로 설치하세요.
uv pip install -r requirements.txt
🚀 사용 방법 (Claude Desktop) claude_desktop_config.json 파일에 아래 설정을 추가하세요. (경로는 본인의 설치 위치에 맞게 수정해야 합니다.)
{
"mcpServers": {
"lnk-forensics": {
"command": "C:\\Path\\To\\Your\\.venv\\Scripts\\python.exe",
"args": [
"C:\\Path\\To\\Your\\e01_lnk_mcp_server.py"
]
}
}
}
⚠️ 주의사항 Python 버전: requirements.txt에 명시된 pytsk3 휠 파일은 Python 3.12 전용입니다. 다른 버전을 사용할 경우 해당 버전에 맞는 .whl 링크로 교체해야 합니다.