Hodometer 1.3

Une application de barre d'état système Windows native en un seul fichier (C, Win32, sans runtime) qui montre exactement quel programme envoie et reçoit des octets et vers quel hôte, maintient l'audit des connexions Windows activé, vous permet à vous ou à un agent IA de tuer un processus ou de bloquer un programme sur-le-champ, et diffuse le tout via un socket localhost que seuls les programmes que vous avez explicitement autorisés peuvent utiliser.

La 1.2 ajoute l'Inspector : zoomez sur un processus et voyez ses connexions (état, RTT, retransmissions, heure de connexion), ses paquets décodés sur le fil (TLS SNI/ALPN, QUIC, DNS, HTTP), un profil de processus (CPU, mémoire, disque, GPU, utilisateur, ligne de commande, signataire) et une chronologie (connexions, échecs, processus enfants, chargements de DLL), avec export pcapng. Tout cela provient des fournisseurs du noyau de Windows lui-même et de ndiscap.sys ; il n'y a aucun pilote à installer.

La 1.3 rend le socket adapté à de nombreux agents à la fois (la conception Sentinel dans SENTINEL.md) : les commandes s'exécutent sur des threads de travail, de sorte qu'un inspect lent d'un client ne bloque plus les autres ; jusqu'à quatre captures pcapng s'exécutent en même temps, une par processus ; conns pagine à travers chaque flux et peut filtrer sur les flux actifs ou les flux touchés depuis un horodatage ; un observateur peut demander uniquement les handshakes décodés au lieu de chaque trame ; un événement flowinfo annonce le SNI, l'ALPN, la requête HTTP ou la version TLS de chaque flux au moment où il est décodé ; chaque connexion peut surveiller 64 processus ; inspect rapporte le SHA-256 du fichier et met en cache les vérifications de signature.

Démo

Regarder ou télécharger la démo de 72 secondes · Sous-titres anglais

Les images réelles de Hodometer suivent un envoi contrôlé à travers l'inspection de processus, la capture de paquets et un blocage pare-feu vérifié. Le segment Sentinel est une enquête IA simulée clairement étiquetée, avec des scores et un comportement en dry-run calculés par le code du dépôt. Les détails personnels et les processus non liés sont retirés de la vidéo publiée.

Ce qu'il fait

• Trafic exact par processus. Lit le fournisseur ETW réseau du noyau en temps réel (la même source que le Moniteur de ressources utilise) : octets envoyés et reçus par processus, avec le nom, le chemin complet et l'address:port distante ayant reçu le plus d'octets. Le trafic local et LAN est masqué par défaut (bouton bascule, ou local on).
• Noms d'hôtes. Appris en direct depuis le fournisseur ETW du client DNS (le nom que chaque programme a réellement résolu), avec une recherche DNS PTR simple comme solution de repli. Affichés dans le tableau et dans chaque événement (host).
• Compteurs à rouleaux et sparkline. Compteurs à chiffres roulants pour les octets OUT et IN avec débits en direct, et un graphique de cinq minutes.
• Tableau des processus trié par débit actuel, 24 h d'historique par minute et par processus en mémoire (history) et ajouté à history.jsonl.
• Tuer ou bloquer. Sélectionnez une ligne : Kill selected process (ou touche Suppr, clic droit), Block program (firewall) ajoute des règles de blocage entrantes et sortantes dans le Pare-feu Windows pour le chemin de ce programme ; débloquez depuis le menu contextuel. L' application refuse de tuer les processus sans lesquels Windows ne peut pas fonctionner ainsi qu'elle-même.
• Gardien d'audit. Toutes les 30 s, il vérifie la sous-catégorie d'audit Filtering Platform Connection (ce que auditpol /set /subcategory:"Filtering Platform Connection" /success:enable /failure:enable active). Si elle est désactivée, il la réactive, le journalise et prévient les agents connectés. Un bouton le fait immédiatement.
• Événements de connexion. Avec l'audit activé, Windows écrit l'événement de sécurité 5156 pour chaque connexion ; l'application transmet chaque connexion sortante non locale sous forme d'événement conn avec le chemin du programme, la destination, le nom d'hôte et le port.
• Pics. Un envoi supérieur à 0,75 Mo/s ou un téléchargement supérieur à 1,5 Mo/s (configurable) émet un événement spike, une ligne dans hodometer.log et une notification dans la zone de notification (au plus une toutes les 5 minutes).
• Zone de notification. Clic gauche sur l'icône pour afficher ou masquer la fenêtre ; clic droit pour mettre en pause, réparer l'audit, oublier les programmes de confiance, le dossier des journaux, le README, quitter. Fermer ou réduire masque dans la zone de notification ; Quitter se trouve dans le menu de la zone de notification.

Inspecteur (zoom sur un processus)

Double-cliquez sur une ligne, appuyez sur Inspect selected process, utilisez le menu contextuel, ou envoyez inspect <pid> show via le socket. Jusqu'à huit fenêtres d'Inspecteur peuvent être ouvertes ; chacune suit un pid.