NtWARden

Windows解析・研究ツールキット

• ImGui + DirectX 11上に構築されたWindowsシステム検査ツール。
• プロセス、サービス、ネットワーク、カーネル内部などをカバー - ローカルまたはWinSysServer経由のネットワーク上で動作。

⚠️ このプロジェクトの一部はAI支援によるvibe codingで作成されているため、バグが含まれている可能性があります。 カーネルドライバ（KWinSys）は、研究目的のテストVMでのみインストールしてください。

スクリーンショット

プロセス（カーネルモード）

プロセス（ユーザーモード）	ETWセッション	カーネルコールバック
カーネルプール	シンボル	フィルター

アーキテクチャ

機能

ユーザーモード（ドライバ不要）

カーネルモード（KWinSysが必要）

プロセス分析（右クリック > Analyze Process）

プロセスのコンテキストメニューからアクセスできる、プロセス単位のセキュリティ分析。

ビルド

要件: Visual Studio 2022、Windows SDK 10.0.26100.0+、WDK（KWinSys用）

NtWarden.sln
├── NtWarden/          # GUI app
├── WinSys/            # Core library (static lib)
├── KWinSys/           # Kernel driver
└── WinSysServer/      # Remote server

1. Visual StudioでNtWarden.slnを開く
2. Release | x64をビルドする
3. 出力はx64/Release/に生成される

ドライバのセットアップ

KWinSysにはテスト署名または有効な署名が必要です。

# Enable test signing (reboot required)
bcdedit /set testsigning on

# On VMs you may also need
bcdedit /set nointegritychecks on

NtWardenは管理者として実行してください。カーネルモードタブに切り替えると、ドライバがまだ読み込まれていない場合に自動的にインストールおよび起動されます。Driverメニューから手動で管理することもできます。

リモート検査

WinSysServerはターゲットマシン（通常はVM）上で実行され、TCP経由でシステムデータを提供します。NtWardenからはRemote > Connectで接続します。

ターゲットにコピーするファイル

ユーザーモード機能（プロセス、サービス、ネットワーク）はドライバなしで動作します。カーネルタブにはターゲット上でKWinSysの読み込みが必要です。

サーバーの実行

# Auto-install driver + start server (run elevated)
WinSysServer.exe --install              # default port 50002
WinSysServer.exe --install --port 9000  # custom port

# Or install the driver yourself first
sc create KWinSys type= kernel binPath= "C:\path\to\KWinSys.sys"
sc start KWinSys
WinSysServer.exe [--port <port>]        # default: 50002

NtWardenからの接続

1. NtWardenを起動
2. Remote > ターゲットのIPとポートを入力 > Connect

プロトコル

TCP上のカスタムバイナリプロトコル。12バイトのヘッダー（MessageType、DataSize、Status）。認証なし - 隔離されたラボ/VM環境でのみ使用してください。

テスト済み環境

• Windows 11 23H2 (Build 22631.6199)
• Windows 10 22H2 (Build 19045.2006)
• Windows 10 1703 (Build 15063.13)

クレジット

• zodiacon - このプロジェクトの主要なインスピレーション源
• WinArk - カーネルモード機能の参考

ライセンス

MIT - LICENSEを参照してください。