Hodometer 1.3

Una aplicación de bandeja nativa de Windows de un solo archivo (C, Win32, sin runtime) que muestra exactamente qué programa envía y recibe bytes y hacia qué host, mantiene activada la auditoría de conexiones de Windows, te permite a ti o a un agente de IA matar un proceso o bloquear un programa al instante, y transmite todo por un socket de localhost que solo los programas que has permitido explícitamente pueden usar.

1.2 añade el Inspector: haz zoom en un proceso y observa sus conexiones (estado, RTT, retransmisiones, tiempo de conexión), sus paquetes decodificados en el cable (TLS SNI/ALPN, QUIC, DNS, HTTP), un perfil del proceso (CPU, memoria, disco, GPU, usuario, línea de comandos, firmante) y una línea de tiempo (conexiones, fallos, procesos hijos, cargas de DLL), con exportación a pcapng. Todo ello proviene de los propios proveedores del kernel de Windows y de ndiscap.sys; no hay ningún controlador que instalar.

1.3 hace que el socket sirva para muchos agentes a la vez (el diseño Sentinel en SENTINEL.md): los comandos se ejecutan en hilos de trabajo, de modo que un inspect lento de un cliente ya no bloquea a los demás; hasta cuatro capturas pcapng se ejecutan al mismo tiempo, una por proceso; conns pagina por cada flujo y puede filtrar a flujos activos o flujos tocados desde una marca de tiempo; un watcher puede solicitar solo los handshakes decodificados en lugar de cada frame; un evento flowinfo anuncia el SNI, ALPN, la solicitud HTTP o la versión de TLS de cada flujo en el momento en que se decodifica; cada conexión puede vigilar 64 procesos; inspect informa el SHA-256 del archivo y almacena en caché las comprobaciones de firma.

Demo

Ver o descargar la demo de 72 segundos · Subtítulos en inglés

Las imágenes reales de Hodometer siguen una carga controlada a través de la inspección de procesos, la captura de paquetes y un bloqueo de firewall verificado. El segmento de Sentinel es una investigación de IA simulada claramente etiquetada, con puntuaciones y comportamiento en modo de prueba calculados por el código del repositorio. Los datos personales y los procesos no relacionados se eliminan del vídeo publicado.

Qué hace

• Tráfico exacto por proceso. Lee el proveedor ETW de red del kernel en tiempo real (la misma fuente que usa el Monitor de recursos): bytes enviados y recibidos por proceso, con nombre, ruta completa y el address:port remoto que recibió más bytes. El tráfico local y de LAN se oculta por defecto (botón de alternancia, o local on).
• Nombres de host. Aprendidos en vivo desde el proveedor ETW del cliente DNS (el nombre que cada programa resolvió realmente), con una consulta DNS PTR simple como respaldo. Se muestran en la tabla y en cada evento (host).
• Odómetros y minigráfico. Contadores de dígitos rodantes para bytes OUT e IN con tasas en vivo, y un gráfico de cinco minutos.
• Tabla de procesos ordenada por la tasa actual, 24 h de historial por minuto por proceso en memoria (history) y añadido a history.jsonl.
• Matar o bloquear. Seleccione una fila: Kill selected process (o la tecla Supr, clic derecho), Block program (firewall) añade reglas de bloqueo de entrada y salida en el Firewall de Windows para la ruta de ese programa; desbloquee desde el menú de clic derecho. La aplicación se niega a matar los procesos sin los que Windows no puede vivir y a sí misma.
• Audit keeper. Cada 30 s comprueba la subcategoría de auditoría Filtering Platform Connection (lo que activa auditpol /set /subcategory:"Filtering Platform Connection" /success:enable /failure:enable). Si está desactivada, la vuelve a activar, lo registra y avisa a los agentes conectados. Un botón lo hace de inmediato.
• Eventos de conexión. Con la auditoría activada, Windows escribe el evento de seguridad 5156 por cada conexión; la aplicación reenvía cada conexión saliente no local como un evento conn con la ruta del programa, el destino, el nombre de host y el puerto.
• Picos. Una subida superior a 0.75 MB/s o una descarga superior a 1.5 MB/s (configurable) emite un evento spike, una línea en hodometer.log y una notificación en la bandeja (como máximo una cada 5 minutos).
• Bandeja. Clic izquierdo en el icono para mostrar u ocultar la ventana; clic derecho para pausar, reparar la auditoría, olvidar programas de confianza, carpeta de registros, README, salir. Cerrar o minimizar oculta a la bandeja; Salir está en el menú de la bandeja.

Inspector (zoom into a process)

Haga doble clic en una fila, pulse Inspect selected process, use el menú de clic derecho, o envíe inspect <pid> show por el socket. Se pueden abrir hasta ocho ventanas de Inspector; cada una sigue a un pid.