$ loading_
让 AI 在 SANS SIFT 上自动执行磁盘、内存与 IOC 取证分析。
该工具声明为运行在 SANS SIFT Workstation 上的开源 DFIR MCP 服务器，无需密钥且未声明远程端点。基于现有材料，主要风险来自其法证分析所需的本地代码执行与潜在广泛数据访问，整体以需留意为主，未见足以直接判为高风险的明确红旗。
材料明确标注无需密钥或环境变量，未见要求用户提供 API token、云凭证或外部账户授权，因此凭证泄露与滥用面较低。
已声明无远程端点，材料中也未描述向外部服务上传磁盘、内存或 IOC 数据的行为。依据现有信息，未见明确的数据外发路径。
系统检查项已确认该工具具备 executes-code 能力；其声明功能涵盖磁盘、内存、时间线、注册表和 IOC 分析，通常意味着在本机调用法证工具或启动进程。这属于 MCP/安全分析工具的常规能力，应谨慎在受控环境中运行。
作为 DFIR 工具，其声明功能天然需要访问本地磁盘镜像、内存转储、注册表和相关分析数据，数据访问范围可能较广。当前材料未说明具体读写边界或最小权限设计，因此需留意对敏感取证数据的访问与保留方式。
正面因素是开源且采用 Apache 2.0 许可证，源码原则上可审计；但来源为 third_party_registry，GitHub 社区采用度为 0 star，维护状态未知，README 也缺失，降低了可验证性与成熟度信号。未见闭源外传或明显恶意迹象，但供应链信任度仍需审慎。
复制安装指令，让 AI 自动完成配置 · 推荐新手
"SIFTAgent" 暂无可直接复制的安装信息，请查看页面文档或源码仓库。
请使用 SIFTAgent 对这个磁盘镜像做初步取证分析：识别分区与文件系统，提取时间线，查找可疑可执行文件、持久化痕迹和已知 IOC，并输出审计记录与结论摘要。
一份包含磁盘结构、关键时间线事件、可疑文件与 IOC 命中结果的取证摘要。
请用 SIFTAgent 分析这份内存镜像，列出异常进程、网络连接、注入迹象、可疑模块和凭证痕迹，并按风险高低排序说明。
一份按风险排序的内存取证报告，突出可疑进程、连接与攻击迹象。
请使用 SIFTAgent 对样本主机数据批量核查 IOC，并重点检查注册表中的启动项、服务、最近执行记录和异常配置，汇总所有命中项及其证据路径。
一份 IOC 命中与注册表异常清单，附带证据位置和调查优先级建议。
将 SANS SIFT 取证工具封装为结构化输出，辅助自动化事件响应与威胁研判。