ALL_INTERFACES, SPECIFIC_INTERFACE und LOOPBACK_ONLY beschreiben, wo ein Socket Datenverkehr annimmt. Sie behaupten bewusst nicht, dass eine Firewall ihn zulässt. Untersuchen Sie einen Port für die vollständige lokale Firewall-Analyse:

[!IMPORTANT] PortClue v0.1 ist ein früher, konservativer Linux-Prototyp. POTENTIAL bedeutet, dass der beobachtete lokale Pfad Datenverkehr zulässt; es behauptet nicht, dass ein Port aus dem öffentlichen Internet erreichbar ist. Nicht unterstützte Firewall-Ausdrücke erzeugen UNKNOWN.

Was es liest

• TCP-Listener über NETLINK_INET_DIAG, nicht durch Auslesen der ss-Ausgabe
• Prozesszugehörigkeit, ausführbare Datei, Kommandozeile, cgroup und Netzwerk-Namespace über /proc
• systemd-Unit-Beschreibungen aus installierten Unit-Dateien und aktive Socket-Trigger über systemctl show
• nftables über nft --json list ruleset
• iptables über iptables-save, wenn nftables nicht verfügbar ist
• Docker veröffentlichte Ports über die lokale Docker Engine HTTP API, einschließlich Image und Labels

Dienstidentität

PortClue identifiziert, zu was ein Port gehört, bevor es die Exposition erklärt. Beweise werden in dieser Reihenfolge gewichtet:

1. beobachtete ausführbare Datei, systemd-Unit und aktiver Socket-Trigger;
2. Docker-Image, Container-Name und Labels;
3. der eingebettete kuratierte Dienstkatalog;
4. die lokale Port-Konvention aus /etc/services.

Ein tatsächlicher Eigentümer überschreibt immer einen konventionellen Portnamen. Wenn nur die Port-Konvention bekannt ist, wird die Identität explizit mit LOW-Konfidenz markiert. Der eingebettete Katalog ist in internal/identify/catalog.json gespeichert und wird innerhalb der einzelnen Binärdatei ausgeliefert; PortClue lädt Identitätsdaten nicht zur Laufzeit herunter.

PortClue ist schreibgeschützt. Es verbindet sich nicht mit dem abgefragten Port, scannt keinen anderen Host, ändert keine Firewall-Regeln, stoppt keine Prozesse oder Container, lädt keine Daten hoch und führt keinen Daemon aus.

Installation

Installationsskript (empfohlen)

Läuft unter Linux (amd64 und arm64). Das Skript lädt das passende GitHub Release-Archiv herunter, verifiziert SHA256SUMS und installiert eine einzelne Binärdatei. Es ändert nicht die Shell-Konfiguration.

Benutzerinstallation (Standard, kein Root). Installiert nach ~/.local/bin, im Besitz des Benutzers:

Eine Benutzerinstallation läuft ohne Root und meldet die für Ihr Konto verfügbaren Beweise und vermerkt, was fehlt. Dies reicht aus, um Listener und Docker- Zuordnungen zu erkunden. Da sudo nicht in ~/.local/bin sucht und diese Binärdatei von Ihrem Benutzer beschreibbar ist, führen Sie diese Kopie nicht mit sudo aus.

Systeminstallation (Root-eigentümerschaft, für sudo portclue). PortClue liest die vollständigsten Beweise (eingeschränktes /proc, vollständiger Firewall-Zustand) als Root. Dafür installieren Sie eine Root-eigene Binärdatei nach /usr/local/bin (das Skript verwendet sudo nur für den letzten Installationsschritt, nicht zum Herunterladen oder Entpacken):

Optionale Überschreibungen: PORTCLUE_VERSION=0.1.2 (ohne führendes v) und PORTCLUE_INSTALL_DIR für beide Modi.

Deinstallation:

Release-Archiv

Laden Sie das passende portclue-VERSION-linux-ARCH.tar.gz und SHA256SUMS von GitHub Releases herunter, verifizieren Sie die Prüfsumme und installieren Sie dann:

Architektur-Zuordnung:

Jedes Archiv enthält die Binärdatei, README, Apache-2.0-Lizenz und Hinweise zu Drittanbietern.

Go-Installation

Erfordert Linux und Go 1.25+:

Dies legt die Binärdatei in $(go env GOPATH)/bin ab. Bevorzugen Sie das prüfsummenverifizierte Release-Archiv oder das Installationsskript, wenn Sie reproduzierbare Installationsartefakte wünschen.

Aus dem Quellcode bauen und ausführen

Voraussetzungen: Linux und Go 1.25 oder neuer.

Der Übersichtsmodus akzeptiert optionale Filter (ignorierte Felder bleiben uneingeschränkt):

--bind-scope akzeptiert eine kommagetrennte Liste von ALL_INTERFACES, SPECIFIC_INTERFACE und LOOPBACK_ONLY. --source akzeptiert host und/oder docker. --min-confidence behält Einträge bei oder über HIGH, MEDIUM, LOW oder UNKNOWN. Diese Flags gelten nur, wenn PORT weggelassen wird.

Die Ausführung ohne Root liefert weiterhin nützliche Listener-, Docker-Zuordnungs- und Bind-Adress- Beweise. Prozessidentität und Firewall-Beweise können unvollständig sein, wenn /proc oder der Firewall-Zustand eingeschränkt sind; PortClue meldet dies unter Incomplete evidence. Verwenden Sie sudo für das vollständigste Ergebnis:

Versionierte JSON

Die JSON-Formen sind für Skripte und Agenten gedacht. Übersichts-JSON verwendet schema_version: 2, mode: "overview" und entries mit service_identity und bind_scope. Ein detaillierter Bericht verwendet schema_version: 1, query, verdict, paths mit service_identity, unknowns und warnings.

Innerhalb einer Schema-Version werden bestehende Feldnamen und Bedeutungen als stabil behandelt. Neue optionale Felder können hinzugefügt werden. Eine Entfernung, Umbenennung oder inkompatible Bedeutungsänderung erfordert eine neue schema_version. Beide Verträge haben Regressionstests.

Urteile

Unterstützt in v0.1

• Linux, TCP, Host-Netzwerk-Namespace
• IPv4-Listener- und lokale Filteranalyse
• korrekte IPv6-Listener/Bind-Klassifizierung; vollständige IPv6-Firewall-Simulation wird nicht zugesichert
• einfache nftables/iptables-Basis-Chains, direkte TCP-Zielport-Regeln und Basisrichtlinien
• Docker-Bridge-Zuordnung veröffentlichter Ports
• systemd-Socket-aktivierte TCP-Dienstzuordnung
• Terminal- und JSON-Ausgabe
• Übersichtsfilter: --bind-scope, --source, --min-confidence

Nicht enthalten: UDP, Podman, Kubernetes, Cloud-Sicherheitsgruppen, Router-Erkennung, Remote-Scanning, eBPF, kontinuierliche Überwachung oder Behebung.

Konservatives Firewall-Verhalten

PortClue versucht absichtlich nicht, die gesamte Netfilter-Virtual- Machine zu implementieren. Die erste Version versteht eine kleine Menge direkter Regeln. Mehrere Basis- Chains, Jumps, Sets, Maps, fib, dynamische Ausdrücke oder andere nicht erkannte Logik verursachen UNKNOWN, wenn sie die Abfrage beeinflussen können. Dies ist sicherer, als eine nicht geparste Regel stillschweigend als Accept oder Drop zu behandeln.

Entwicklung

Siehe CONTRIBUTING.md für Umfang, Tests und wie man Firewall-UNKNOWN-Ergebnisse meldet.

make release erfordert einen sauberen Git-Worktree und erstellt versionierte amd64/arm64- Archive plus dist/SHA256SUMS. Das Pushen eines v*-Tags an das konfigurierte GitHub-Remote führt dieselben Prüfungen aus und erstellt ein GitHub-Release. Vom Makefile wird kein Tag erstellt.

Das langfristige Design hält den Analyzer, das Kausalmodell und die Renderer plattformneutral. Linux ist das erste Beweis-Backend; Windows ist das wahrscheinlich zweite Backend, wenn der Linux- Prototyp echte Nutzung erlangt.

Lizenz

PortClue ist unter der Apache License 2.0 lizenziert. Siehe LICENSE. Binärarchive enthalten auch THIRD_PARTY_NOTICES.

Siehe CHANGELOG.md für die Release-Historie und JSON-Kompatibilitätshinweise, SECURITY.md für unterstützte Versionen und private Schwachstellenmeldung, und CONTRIBUTING.md zum Mitwirken.