SkillFoxx
Telegram

Valhuntir MCP

Платформа расследования инцидентов на MCP: ИИ разбирает криминалистические артефакты, а каждый вывод утверждает человек подписью.

  • 150 ★ репозитория
  • Последний коммит
  • MIT
MCP-сервер

Широкий доступ

Почему такой уровень

  • Установщик запускается с sudo, платформа выполняет криминалистические инструменты и работает с чувствительными уликами.
Все причины и проверки

appliedir/valhuntirАвтор:AppliedIR

Установка

Ручная установка

curl -fsSL https://raw.githubusercontent.com/AppliedIR/sift-mcp/main/quickstart.sh -o /tmp/vhir-quickstart.sh && bash /tmp/vhir-quickstart.sh

Быстрый вариант из README для рабочей станции SIFT: ядро платформы без баз. Скрипт лежит в репозитории sift-mcp.

Доступ и проверки

Как мы проверяем

Широкий доступИнструмент может менять данные, выполнять команды или работать с секретами.

  • Установщик запускается с sudo, платформа выполняет криминалистические инструменты и работает с чувствительными уликами.

Это чужой код. Посмотрите файлы в репозитории перед установкой.

Что делает

Valhuntir превращает аналитика реагирования на инциденты в руководителя команды ИИ-агентов. Шлюз `sift-gateway` подключает MCP-серверы с криминалистическими инструментами, базами знаний и базовыми профилями Windows. Клиентом служат Claude Code, Codex, LibreChat или Open WebUI. Расследование идет по шагам: дело, регистрация улик с хешами, разбор и индексация в OpenSearch, поиск и построение хронологии. Агент записывает находки черновиком, аналитик одобряет или отклоняет каждую в портале или через CLI `vhir` со своей подписью, отчет строится по одобренным находкам.

Для кого. Аналитикам DFIR и SOC, которые разбирают цифровые артефакты и хотят ускорить анализ, сохранив контроль и журнал решений.

Подходит, если

  • После компрометации нужно проиндексировать журналы событий Windows и найти следы по хостам.
  • Требуется хронология по MFT, USN, Shimcache и Amcache со сквозной привязкой к источнику.
  • Каждый вывод ИИ проходит ручное утверждение с подписью следователя.
  • Улики проверяют по базам эталонов и источникам угроз без траты токенов на сырые данные.

Не подходит, если

  • Нужен автономный поиск угроз без участия человека: README прямо предупреждает, что запрос «найди зло» дает выдумки.
  • Машина слабее 16 ГБ памяти и без места под несколько десятков гигабайт.
  • Задача состоит в наступательных операциях, а не в разборе улик.

Пример запроса к агенту

Создай дело, зарегистрируй образ диска, проиндексируй журналы EVTX, составь хронологию по хосту и запиши находки черновиком на мое утверждение.

MCP

Транспорт
http, stdio
Авторизация
API-ключ

Ограничения

Платформа новая: README требует проверять каждый результат и вести расследование самому. Для базовой установки нужны Python версии 3.10 или новее и sudo на рабочей станции SIFT, минимум 16 ГБ памяти и около 50 ГБ диска плюс место под улики. Режим с OpenSearch требует 32 ГБ и Docker, рекомендуемый набор баз занимает около 14 ГБ. Установщик запускают из `curl` в `bash`: перед этим прочитайте скрипт. Для анализа памяти с Volatility 3 README советует 24 ГБ.

Как отключить. Остановите шлюз и уберите MCP-записи из настроек клиента. Данные дел, ключи подписи и индексы OpenSearch хранятся отдельно, их удаляют вручную после архивации.

Частые вопросы

Кто утверждает выводы?

Аналитик. Агент создает находки черновиком, а одобрение или отказ подписывается ключом следователя в портале или командой `vhir`.

Какие клиенты поддерживаются?

Claude Code и Codex с контролями Valhuntir, LibreChat и Open WebUI в режиме только MCP, а также любой клиент со Streamable HTTP.

Есть ли вариант полегче?

Да, Valhuntir Lite: только stdio-серверы MCP без шлюза и OpenSearch, достаточно 8 ГБ памяти. Установка идет через `quickstart-lite.sh`.

Зачем OpenSearch?

Он индексирует разобранные артефакты, и модель запрашивает структурированные данные вместо чтения сырых файлов. Это экономит токены на больших объемах.

Что дает клиентская установка на другой машине?

Скрипты `setup-client-linux.sh`, `setup-client-macos.sh` и `setup-client-windows.ps1` подключают клиента к шлюзу SIFT по адресу и коду.

Обсуждение

Вопросов и отзывов пока нет.

MCP-серверы

MCP-сервер памяти для агентов и бесплатный шлюз, который останавливает опасные команды до запуска

MCP-серверШирокий доступ660

Сканер безопасности для MCP-серверов: ищет зашитые ключи, отравление инструментов и инъекции в коде репозитория.

CLIМинимальный доступ140

MCP-сервер, который дает агенту разбор уязвимостей: данные NVD, EPSS, каталог CISA KEV, связки с MITRE ATT&CK и оценка риска CVE в одном запросе

MCP-серверРасширенный доступ1,8 тыс.

Сканер ищет в конфигах MCP у Claude Desktop, Cursor и VS Code утекшие ключи, опасные доступы и подключенные модели.

CLIРасширенный доступ166

Инструмент анализа вредоносных файлов с MCP-сервером: агент вызывает разбор файлов, документов и архивов, поиск индикаторов и проверку подписей

MCP-серверРасширенный доступ2,1 тыс.

Коротко о README

Шаги расследования: дело, улики, индексация, анализ, находки, ревью и отчет с привязкой к MITRE. Есть режимы Quick, Recommended и Lite.

Бейдж для README

Сообщить о проблеме