ntwarden-windows-analysis-toolkit — скилл для Claude Code: анализ
Скилл для разбора внутренностей Windows: процессы, службы, сеть, ETW, ядро. Пригодится, когда нужно разобрать поведение подозрительного процесса.
npx skills add reason-machines/trending-skills --skill ntwarden-windows-analysis-toolkit -a claude-codeЧто делает ntwarden-windows-analysis-toolkit
Скилл описывает NtWarden — GUI-приложение на ImGui и DirectX 11 для инспекции Windows. Внутри четыре части: сама GUI-программа, статическая библиотека WinSys для перечисления процессов, служб и сетевых соединений, драйвер KWinSys для работы в режиме ядра и headless-сервер WinSysServer для удалённого подключения по TCP.
Сборка идёт в Visual Studio 2022 с Windows SDK 10.0.26100.0 и выше. WDK нужен только для драйвера KWinSys. Готовые бинарники ложатся в x64/Release/: NtWarden.exe, WinSysServer.exe и KWinSys/KWinSys.sys. Запускать программу нужно от администратора, иначе часть функций отвалится.
Драйвер ставится через bcdedit /set testsigning on с перезагрузкой, а на виртуалке может понадобиться ещё и bcdedit /set nointegritychecks on. Удалённый сервер работает по своему бинарному протоколу без аутентификации, поэтому его место — изолированная лаборатория или виртуалка, не рабочая сеть.
Какие задачи решает
- разобрать, какие модули загружены в ядро и откуда они
- найти незабэкапленные исполняемые регионы в памяти процесса
- проверить процесс на hollowing по расхождению PEB и PE-заголовка
- посмотреть прямые системные вызовы в обход ntdll
- снять список TCP-соединений с привязкой к PID
Примеры запросов агенту
- покажи процессы через NtWarden и отсортируй по потреблению памяти
- проверь процесс 1234 на inline-хуки в пользовательском режиме
- подними WinSysServer на виртуалке и подключись к ней из NtWarden
Как установить ntwarden-windows-analysis-toolkit
1Через Skills CLI (Vercel)
npx skills add reason-machines/trending-skills --skill ntwarden-windows-analysis-toolkit -a claude-code2Вручную: положить файлы
~/.claude/skills/ntwarden-windows-analysis-toolkit/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/ntwarden-windows-analysis-toolkit/
1Через Skills CLI (Vercel)
npx skills add reason-machines/trending-skills --skill ntwarden-windows-analysis-toolkit -a codex2Вручную: положить файлы
.agents/skills/ntwarden-windows-analysis-toolkit/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add reason-machines/trending-skills --skill ntwarden-windows-analysis-toolkit -a cursor2Вручную: положить файлы
.cursor/skills/ntwarden-windows-analysis-toolkit/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install reason-machines/trending-skills ntwarden-windows-analysis-toolkit2Вручную: положить файлы
.github/skills/ntwarden-windows-analysis-toolkit/SKILL.md1Через Skills CLI (Vercel)
npx skills add reason-machines/trending-skills --skill ntwarden-windows-analysis-toolkit -a gemini-cli2Командой платформы
gemini skills install https://github.com/reason-machines/trending-skills --path skills/ntwarden-windows-analysis-toolkitВручную: положить файлы
.devin/skills/ntwarden-windows-analysis-toolkit/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add reason-machines/trending-skills --skill ntwarden-windows-analysis-toolkit -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о ntwarden-windows-analysis-toolkit
Как установить ntwarden-windows-analysis-toolkit в Claude?
Выполните npx skills add reason-machines/trending-skills --skill ntwarden-windows-analysis-toolkit -a claude-code. После этого файл скилла появится в ~/.claude/skills/ntwarden-windows-analysis-toolkit/SKILL.md.
Что делает ntwarden-windows-analysis-toolkit?
Описывает сборку и запуск NtWarden — инструмента для инспекции Windows. Через него смотрят процессы, службы, сеть, ETW, реестр, объектный менеджер и внутренности ядра.
Нужен ли драйвер KWinSys для работы NtWarden?
Нет. Процессы, службы, сеть, ETW, реестр и объектный менеджер работают в пользовательском режиме. KWinSys нужен только для вкладок ядра: SSDT-хуков, колбэков, модулей и пула.
