Juwon1405/yushin-dfir
GitHub: Juwon1405/yushin-dfir
一个基于SANS SIFT的自主DFIR代理，将资深分析师推理模式编码为架构，解决AI取证中的幻觉与审计一致性问题。
Stars: 0 | Forks: 0
# YuShin (優心) — SANS SIFT Workstation 上的自主 DFIR 代理
**提交至：** [SANS FIND EVIL! Hackathon 2026](https://findevil.devpost.com/)
**许可证：** MIT
**状态：** 🚧 活跃开发中 — 提交截止日期 2026 年 6 月 15 日
## YuShin 存在的原因
Protocol SIFT 证明了 AI 代理可以在 SIFT Workstation 上运行。但它在法庭级别的报告中产生的幻觉内容远超 DFIR 从业者所能容忍的程度。YuShin 试图通过将 **资深分析师的推理模式** 作为架构（而非提示词）编码来缩小这一差距。
这个名字是日语 **優心** 的读法，意为“明辨之心”。
## 架构主张
1. **自定义 MCP 服务器** 是主要的强制层。代理没有 `execute_shell()`。破坏性命令不是被拒绝 —— 它们根本不存在。
2. **Claude Code 上的直接代理扩展** 处理会话可用性。安全边界存在于服务器中，而非提示词里。
3. **持久化学习循环** 强制代理在每次迭代中将假设、置信度与未解决的空白写入磁盘。下一迭代必须处理这些空白或声明其不可达。
证据在代理启动前以 **只读方式** 挂载到操作系统层。完整性是系统形态的属性，而非要求代理遵守的规则。
## 仓库布局
```
├── yushin-mcp/ # Custom MCP server: typed, read-only forensic functions
├── yushin-agent/ # Claude Code wrapper: system prompt, hypothesis tracker, iteration controller
├── yushin-corr/ # Cross-artifact correlation engine (Python + DuckDB)
├── yushin-audit/ # Structured JSONL logger — every tool call, every decision
├── yushin-playbook/ # Senior-analyst sequencing rules (YAML, community-extensible)
├── docs/
│ ├── architecture.md
│ ├── accuracy-report.md
│ └── dataset.md
├── scripts/
│ └── install.sh # One-command deploy on a clean SIFT OVA
└── examples/ # Sample runs against public ground-truth datasets
```
## 快速启动（在 SIFT Workstation OVA 上）
```
curl -fsSL https://raw.githubusercontent.com/Juwon1405/yushin-dfir/main/scripts/install.sh | bash
```
详细设置、依赖项和可运行示例：请参考 [`docs/`](./docs)。
## 目标案例类
针对内部威胁与类似 DPRK IT 工作人员的行为模式：
- IP-KVM 指标与异常的远程访问栈
- 与认证遥测相矛盾的 USB 时间线
- 与远程操作相关的进程树异常
- 在 MFT / Amcache / Prefetch / 内存中的 Living-off-the-land 序列
## 与评判标准对齐（SANS FIND EVIL!）
| 评判标准 | YuShin 的应对方式 |
|---|---|
| 自主执行质量 | 假设追踪器 + 持久化学习循环 |
| 取证准确性 | 跨artifact关联；矛盾被标记而非平滑 |
| 广度与深度 | 在单一执行跟踪中覆盖磁盘、内存、USB 与网络 |
| 约束实现 | **架构层面**（无 Shell 透传）；附带绕过测试文档 |
| 审计追踪质量 | 每个发现 → `audit_id` → MCP 调用 → 命令 → 原始输出 |
| 可用性与文档 | 一键部署；YAML 剧本扩展 |
## 路线图
- macOS 证据深度（UnifiedLogs、KnowledgeC、QuarantineEventsV2、FSEvents）
- 通过 MCP 连接的 Velociraptor / GRR / osquery 进行实时端点 triage
- 多代理分解（内存 / 磁盘 / 网络 / 合成器）
- 准确性评估框架（社区贡献）
## 许可证
MIT —— 参见 [LICENSE](./LICENSE)。
## 作者
**YuShin (優心 / Bang Juwon)** — DFIR 从业者。
通过 GitHub 联系。
标签：2026, agentic workflow, Claude Code, DuckDB, forensic tooling, FTP漏洞扫描, hypothesis tracking, MCP服务器, Python, read-only forensics, SANS FIND EVIL, SANS SIFT, security boundaries, Senior Analyst Reasoning, Shell安全, 假设追踪, 只读证据, 可扩展规则, 安全编排, 完整性验证, 开发中, 持久学习循环, 数字取证, 无后门, 无执行命令, 日本语优心, 架构优先, 法庭级报告, 社区扩展, 自主智能体, 自动化脚本, 读取挂载, 跨工件关联, 逆向工具