Hodometer 1.3

Eine einteilige native Windows-Tray-Anwendung (C, Win32, keine Laufzeitumgebung), die genau anzeigt, welches Programm Bytes sendet und empfängt und an welchen Host, die Windows-Verbindungsprüfung eingeschaltet lässt, es Ihnen oder einem KI-Agenten ermöglicht, einen Prozess sofort zu beenden oder ein Programm zu blockieren, und alles über einen Localhost-Socket streamt, den nur Programme nutzen können, die Sie ausdrücklich erlaubt haben.

1.2 fügt den Inspector hinzu: Zoomen Sie in einen Prozess hinein und sehen Sie seine Verbindungen (Status, RTT, Neuübertragungen, Verbindungszeit), seine auf der Leitung dekodierten Pakete (TLS SNI/ALPN, QUIC, DNS, HTTP), ein Prozessprofil (CPU, Speicher, Datenträger, GPU, Benutzer, Befehlszeile, Signierer) und eine Zeitleiste (Verbindungen, Fehler, untergeordnete Prozesse, DLL-Ladevorgänge), mit pcapng-Export. All dies stammt aus den eigenen Kernel-Providern von Windows und ndiscap.sys; es ist kein Treiber zu installieren.

1.3 macht den Socket für viele Agenten gleichzeitig geeignet (das Sentinel-Design in SENTINEL.md): Befehle laufen auf Worker-Threads, sodass ein langsames inspect von einem Client die anderen nicht mehr blockiert; bis zu vier pcapng-Aufzeichnungen laufen gleichzeitig, eine pro Prozess; conns blättert durch jeden Flow und kann auf aktive Flows oder auf Flows filtern, die seit einem Zeitstempel berührt wurden; ein Watcher kann nur dekodierte Handshakes anfordern statt jedes Frame; ein flowinfo-Ereignis kündigt SNI, ALPN, HTTP-Anfrage oder TLS-Version jedes Flows in dem Moment an, in dem er dekodiert wird; jede Verbindung kann 64 Prozesse überwachen; inspect meldet den SHA-256 der Datei und speichert Signaturprüfungen zwischen.

Demo

Sehen oder laden Sie die 72-sekündige Demo herunter · Englische Untertitel

Tatsächliches Hodometer-Material folgt einem kontrollierten Upload durch Prozessinspektion, Paketaufzeichnung und eine verifizierte Firewall-Blockierung. Das Sentinel-Segment ist eine klar gekennzeichnete simulierte KI-Untersuchung, wobei Bewertungen und Dry-Run-Verhalten vom Repository-Code berechnet werden. Persönliche Details und nicht zugehörige Prozesse werden aus dem veröffentlichten Video entfernt.

Was es tut

• Exakter Datenverkehr pro Prozess. Liest den ETW-Netzwerkprovider des Kernels in Echtzeit (dieselbe Quelle, die der Ressourcenmonitor verwendet): gesendete und empfangene Bytes pro Prozess, mit Name, vollständigem Pfad und der entfernten address:port, die die meisten Bytes empfangen hat. Lokaler und LAN-Datenverkehr wird standardmäßig ausgeblendet (Umschaltfläche oder local on).
• Hostnamen. Werden live vom ETW-Provider des DNS-Clients gelernt (der Name, den jedes Programm tatsächlich aufgelöst hat), mit einer einfachen DNS-PTR-Abfrage als Fallback. Angezeigt in der Tabelle und in jedem Ereignis (host).
• Odomete und Sparkline. Rollende Ziffernzähler für Bytes OUT und IN mit Live-Raten sowie ein Fünf-Minuten-Diagramm.
• Prozesstabelle sortiert nach aktueller Rate, 24 h stündlicher Verlauf pro Prozess im Speicher (history) und angehängt an history.jsonl.
• Beenden oder blockieren. Wählen Sie eine Zeile aus: Kill selected process (oder Entf-Taste, Rechtsklick), Block program (firewall) fügt eingehende und ausgehende Windows-Firewall-Blockierungsregeln für den Pfad dieses Programms hinzu; die Aufhebung der Blockierung erfolgt über das Rechtsklick-Menü. Die App weigert sich, die Prozesse zu beenden, ohne die Windows nicht leben kann, sowie sich selbst.
• Audit-Wächter. Alle 30 s prüft er die Audit-Unterkategorie Filtering Platform Connection (was auditpol /set /subcategory:"Filtering Platform Connection" /success:enable /failure:enable aktiviert). Ist sie aus, schaltet er sie wieder ein, protokolliert dies und benachrichtigt verbundene Agenten. Eine Schaltfläche erledigt dies sofort.
• Verbindungsereignisse. Bei aktivierter Überwachung schreibt Windows das Sicherheitsereignis 5156 für jede Verbindung; die App leitet jedes ausgehende nicht-lokale Ereignis als conn-Ereignis mit Programmpfad, Ziel, Hostname und Port weiter.
• Spitzenwerte. Upload über 0,75 MB/s oder Download über 1,5 MB/s (konfigurierbar) löst ein spike-Ereignis, eine Zeile in hodometer.log und eine Tray-Benachrichtigung aus (höchstens eine pro 5 Minuten).
• Tray. Linksklick auf das Symbol, um das Fenster ein- oder auszublenden; Rechtsklick für Pause, Audit-Reparatur, vertrauenswürdige Programme vergessen, Protokollordner, README, Beenden. Schließen oder Minimieren blendet in den Tray aus; Beenden befindet sich im Tray-Menü.

Inspector (in einen Prozess hineinzoomen)

Doppelklicken Sie auf eine Zeile, drücken Sie Inspect selected process, verwenden Sie das Rechtsklick-Menü oder senden Sie inspect <pid> show über den Socket. Bis zu acht Inspector-Fenster können geöffnet sein; jedes folgt einer pid.