Hodometer 1.3

تطبيق أصلي أحادي الملف لشريط مهام Windows (بلغة C، وWin32، دون بيئة تشغيل) يعرض بدقة أي برنامج يرسل ويستقبل البايتات وإلى أي مضيف، ويُبقي تدقيق اتصالات Windows مُفعّلًا، ويتيح لك أو لوكيل ذكاء اصطناعي إنهاء عملية أو حظر برنامج على الفور، ويبث كل شيء عبر مقبس localhost لا يمكن استخدامه إلا للبرامج التي سمحت لها صراحةً.

يضيف الإصدار 1.2 المُفتِّش (Inspector): تكبير عملية واحدة ورؤية اتصالاتها (الحالة، وRTT، وإعادات الإرسال، ووقت الاتصال)، وحزمها المفكوكة على الشبكة (TLS SNI/ALPN، وQUIC، وDNS، وHTTP)، وملف تعريف العملية (المعالج، والذاكرة، والقرص، وGPU، والمستخدم، وسطر الأوامر، والموقِّع) وخط زمني (الاتصالات، والإخفاقات، والعمليات الفرعية، وتحميلات DLL)، مع تصدير pcapng. كل ذلك يأتي من موفّري نواة Windows نفسها ومن ndiscap.sys؛ لا يوجد برنامج تشغيل لتثبيته.

يجعل الإصدار 1.3 المقبس مناسبًا لعدة وكلاء في آنٍ واحد (تصميم Sentinel في SENTINEL.md): تُنفَّذ الأوامر على خيوط عاملة، بحيث لم يعد أمر inspect البطيء من عميل واحد يعطّل الآخرين؛ وتعمل حتى أربع عمليات التقاط pcapng في الوقت نفسه، واحدة لكل عملية؛ ويُصفّح conns كل التدفقات ويمكنه التصفية إلى التدفقات النشطة أو التدفقات التي جرى مسّها منذ طابع زمني؛ ويمكن للمراقب أن يطلب المصافحات المفكوكة فقط بدلًا من كل إطار؛ ويُعلن حدث flowinfo عن SNI وALPN وطلب HTTP أو إصدار TLS لكل تدفق لحظة فكّه؛ وقد يراقب كل اتصال 64 عملية؛ ويُبلّغ inspect عن SHA-256 للملف ويخزّن فحوص التوقيع مؤقتًا.

عرض توضيحي

شاهد أو نزّل العرض التوضيحي البالغ 72 ثانية · الترجمة الإنجليزية

تتبع لقطات Hodometer الفعلية عملية رفع خاضعة للتحكم عبر فحص العملية، والتقاط الحزم، وحظر جدار حماية موثّق. ومقطع Sentinel هو تحقيق محاكى بذكاء اصطناعي موسوم بوضوح، مع درجات وسلوك تشغيل تجريبي تحسبه شيفرة المستودع. وقد أُزيلت التفاصيل الشخصية والعمليات غير ذات الصلة من الفيديو المنشور.

ما الذي يفعله

• حركة مرور دقيقة لكل عملية. يقرأ مزوّد ETW لشبكة النواة في الوقت الفعلي (نفس المصدر الذي يستخدمه Resource Monitor): البايتات المرسلة والمستلمة لكل عملية، مع الاسم والمسار الكامل وعنوان address:port البعيد الذي استقبل أكبر عدد من البايتات. حركة المرور المحلية والخاصة بالشبكة المحلية مخفية افتراضيًا (زر تبديل، أو local on).
• أسماء المضيفين. تُتعلَّم مباشرةً من مزوّد ETW لعميل DNS (الاسم الذي حلّه كل برنامج فعليًا)، مع استعلام DNS PTR عادي كخيار احتياطي. تُعرض في الجدول وفي كل حدث (host).
• عدّادات متدحرجة ومخطط خطي مصغّر. عدّادات بأرقام متدحرجة للبايتات الصادرة والواردة مع معدلات مباشرة، ورسم بياني لخمس دقائق.
• جدول العمليات مرتّب حسب المعدل الحالي، مع سجل 24 ساعة لكل دقيقة لكل عملية في الذاكرة (history) ويُضاف إلى history.jsonl.
• الإنهاء أو الحظر. اختر صفًا: Kill selected process (أو مفتاح Delete، أو النقر بزر الفأرة الأيمن)، Block program (firewall) يضيف قواعد حظر في Windows Firewall للحركة الواردة والصادرة لمسار ذلك البرنامج؛ وإلغاء الحظر من قائمة النقر بزر الفأرة الأيمن. يرفض التطبيق إنهاء العمليات التي لا يستطيع Windows العمل بدونها ويرفض إنهاء نفسه.
• حافظ التدقيق. كل 30 ثانية يتحقق من الفئة الفرعية للتدقيق Filtering Platform Connection (وهو ما يفعّله الأمر auditpol /set /subcategory:"Filtering Platform Connection" /success:enable /failure:enable). إذا كانت معطّلة يعيد تفعيلها ويسجّل ذلك ويُخبر الوكلاء المتصلين. وهناك زر يقوم بذلك فورًا.
• أحداث الاتصال. مع تفعيل التدقيق، يكتب Windows حدث الأمان 5156 لكل اتصال؛ ويُمرّر التطبيق كل اتصال صادر غير محلي كحدث conn مع مسار البرنامج والوجهة واسم المضيف والمنفذ.
• الارتفاعات المفاجئة. الرفع الذي يتجاوز 0.75 MB/s أو التنزيل الذي يتجاوز 1.5 MB/s (قابل للتكوين) يُصدر حدث spike، وسطرًا في hodometer.log، وإشعارًا في شريط النظام (بحد أقصى واحد كل 5 دقائق).
• شريط النظام. انقر على الأيقونة بزر الفأرة الأيسر لإظهار النافذة أو إخفائها؛ وانقر بزر الفأرة الأيمن للإيقاف المؤقت، أو إصلاح التدقيق، أو نسيان البرامج الموثوقة، أو مجلد السجلات، أو README، أو الخروج. الإغلاق أو التصغير يُخفي إلى شريط النظام؛ والخروج موجود في قائمة شريط النظام.

Inspector (التعمّق في عملية)

انقر نقرًا مزدوجًا على صف، أو اضغط Inspect selected process، أو استخدم قائمة النقر بزر الفأرة الأيمن، أو أرسل inspect <pid> show عبر المقبس. يمكن فتح ما يصل إلى ثماني نوافذ Inspector؛ كل واحدة تتابع pid واحدًا.

• الترويسة. الاسم، pid، قيد التشغيل/منتهٍ/محظور، موقّع Authenticode (توقيع مضمّن، أو كتالوج Windows الذي يغطي الملف؛ يُشار صراحةً إلى "غير موقّع" و"التوقيع غير موثوق")، المسار، سطر الأوامر، المستخدم ومستوى السلامة، العملية الأب، وقت البدء، العمليات الفرعية، الخيوط، المقابض؛ نسبة CPU، الذاكرة (مجموعة العمل والخاصة)، معدل قراءة/كتابة القرص، نسبة GPU (عدّادات "GPU Engine" لكل عملية التي يستخدمها Task Manager)، وقت CPU؛ البايتات الصادرة/الواردة مع المعدلات، الاتصالات النشطة، البايتات المعاد إرسالها، محاولات الاتصال الفاشلة، الحزم المرصودة؛ رسم بياني للمعدل على مدى دقيقتين لهذه العملية وحدها.
• الاتصالات. كل اتصال TCP وتدفق UDP للعملية: المضيف البعيد (اسم DNS، وإلا TLS SNI، وإلا العنوان)، المنفذ، البروتوكول، الحالة (connecting / established / closed / failed، أو udp / quic)، المعدلات والإجماليات في كل اتجاه، البايتات والحزم المعاد إرسالها، RTT الممهّد والحد الأدنى، المنفذ المحلي، العمر، وعمود معلومات يتضمن SNI، ALPN، إصدار TLS، طلب HTTP، إصدار QUIC، وقت الاتصال، عمليات إعادة الاتصال، المهلات وإشارات الازدحام، MSS. تأتي دورة الحياة وإعادة الإرسال من موفّر Kernel-Network (الأحداث 12-17 ونظيراتها IPv6)، وتُهيّأ الحالات من جدول TCP، وعدّادات RTT وإعادة الإرسال من TCP ESTATS (تُفعّل لكل اتصال أثناء فحصه).
• الحزم. قائمة حية لإطارات العملية: الوقت، الاتجاه، البروتوكول، البعيد، الطول، أعلام TCP وفك ترميز من سطر واحد: TLS ClientHello مع SNI وALPN (يُعاد تجميعه عبر المقاطع)، ServerHello مع الإصدار المتفاوض عليه، أنواع سجلات TLS، سطر طلب HTTP النصي وترويسة Host، استعلامات DNS وإجاباتها، إصدار QUIC ونوع الحزمة. بالنسبة لـ QUIC v1 يُفك تشفير Initial الخاص بالعميل (مفاتيحه تُشتق من معرّف الاتصال وحده، RFC 9001 5.2)، لذا تُظهر اتصالات HTTP/3 SNI وALPN أيضاً، حتى عندما يوزّع Chrome الـ ClientHello على العديد من أجزاء CRYPTO غير المرتبة. تبقى الحمولات مشفّرة؛ لا يُقرأ شيء يتجاوز المصافحة.
• الخط الزمني. الاتصال / التأسيس (مع زمن كمون الاتصال) / الإغلاق / الفشل (مع خطأ Winsock) / دفعات إعادة الإرسال، مصافحات TLS، استعلامات DNS، طلبات HTTP، مصافحات QUIC، العمليات الفرعية التي بدأتها العملية المفحوصة، تحميل الصور (DLL) أثناء الفحص، خروج العملية، عمليات الالتقاط المنتهية.
• التقاط 30 ثانية → pcapng. يكتب إطارات هذه العملية فقط إلى capture_<name>_<pid>_<time>.pcapng بجوار exe؛ يُفتح في Wireshark. يمكن تشغيل ما يصل إلى أربع عمليات التقاط (واحدة لكل عملية، أو واحدة لكل العمليات) في آن واحد؛ تُظهر الترويسة التقاط هذه العملية وتنبّه عند تشغيل غيرها. Copy JSON يضع حالة Inspector كاملة في الحافظة (ردّ inspect). Kill وBlock يعملان على هذه العملية.

كيف يعمل: تأتي الإطارات من ndiscap.sys الخاص بـ Windows (موفّر Microsoft-Windows-NDIS-PacketCapture خلف netsh trace) عبر جلسة ETW ثانية، HodometerZoom، التي تعمل فقط أثناء فتح Inspector، أو مراقبة عميل socket، أو تشغيل عملية التقاط (بالإضافة إلى فترة سماح 30 ثانية). لا تحمل الإطارات معرّف عملية؛ ينسبها Hodometer بمطابقة العنوان والمنفذ المحلي والبعيد مع جدول الاتصالات الذي يبنيه من أحداث شبكة النواة. هكذا يحقق الحزم لكل عملية، وهو ما لا يستطيعه pktmon وWireshark. الأسماء المستفادة من SNI تملأ أيضاً عمود المضيف في الجدول الرئيسي عندما لا يكشف DNS شيئاً (المتصفحات التي تستخدم DNS over HTTPS، على سبيل المثال).

من يجوز له الاتصال: المطالبة

يُعرَّف كل عميل socket جديد من خلال العملية المالكة له (عبر جدول TCP)، ومسار ملفه التنفيذي، و SHA-256 للملف. ما لم يكن ذلك البرنامج موثوقاً بالفعل، تظهر مربع حوار مهام Windows القياسي (أيقونة الدرع، ثلاثة أزرار روابط أوامر):