Hodometer 1.3

एक एकल-फ़ाइल नेटिव Windows ट्रे एप्लिकेशन (C, Win32, कोई रनटाइम नहीं) जो ठीक-ठीक दिखाता है कि कौन सा प्रोग्राम बाइट्स भेज और प्राप्त कर रहा है और किस होस्ट को, Windows कनेक्शन ऑडिटिंग को चालू रखता है, आपको या किसी AI एजेंट को किसी प्रोसेस को तुरंत मारने या किसी प्रोग्राम को ब्लॉक करने देता है, और सब कुछ एक localhost सॉकेट पर स्ट्रीम करता है जिसका उपयोग केवल वे प्रोग्राम कर सकते हैं जिन्हें आपने स्पष्ट रूप से अनुमति दी है।

1.2 में Inspector जोड़ा गया: किसी एक प्रोसेस में ज़ूम करें और उसके कनेक्शन (स्थिति, RTT, रीट्रांसमिट, कनेक्ट समय), वायर पर डिकोड किए गए उसके पैकेट (TLS SNI/ALPN, QUIC, DNS, HTTP), एक प्रोसेस प्रोफ़ाइल (CPU, मेमोरी, डिस्क, GPU, उपयोगकर्ता, कमांड लाइन, साइनर) और एक टाइमलाइन (कनेक्ट, विफलताएँ, चाइल्ड प्रोसेस, DLL लोड) देखें, साथ में pcapng निर्यात। यह सब Windows के अपने कर्नेल प्रोवाइडर और ndiscap.sys से आता है; इंस्टॉल करने के लिए कोई ड्राइवर नहीं है।

1.3 सॉकेट को एक साथ कई एजेंट्स के लिए उपयुक्त बनाता है (SENTINEL.md में Sentinel डिज़ाइन): कमांड वर्कर थ्रेड्स पर चलते हैं, इसलिए एक क्लाइंट से धीमा inspect अब अन्य को रोकता नहीं; एक साथ अधिकतम चार pcapng कैप्चर चलते हैं, प्रति प्रोसेस एक; conns हर फ़्लो को पेज करता है और सक्रिय फ़्लो या किसी टाइमस्टैम्प के बाद छुए गए फ़्लो तक फ़िल्टर कर सकता है; एक वॉचर हर फ़्रेम के बजाय केवल डिकोड किए गए हैंडशेक माँग सकता है; एक flowinfo इवेंट हर फ़्लो के SNI, ALPN, HTTP अनुरोध या TLS संस्करण की घोषणा उसी क्षण करता है जब उसे डिकोड किया जाता है; प्रत्येक कनेक्शन 64 प्रोसेस देख सकता है; inspect फ़ाइल का SHA-256 रिपोर्ट करता है और सिग्नेचर जाँच को कैश करता है।

डेमो

72-सेकंड का डेमो देखें या डाउनलोड करें · अंग्रेज़ी कैप्शन

वास्तविक Hodometer फुटेज प्रोसेस निरीक्षण, पैकेट कैप्चर और एक सत्यापित फ़ायरवॉल ब्लॉक के माध्यम से एक नियंत्रित अपलोड का अनुसरण करता है। Sentinel खंड एक स्पष्ट रूप से लेबल की गई सिम्युलेटेड AI जाँच है, जिसमें स्कोर और ड्राई-रन व्यवहार रिपॉज़िटरी कोड द्वारा गणना किए जाते हैं। व्यक्तिगत विवरण और असंबंधित प्रोसेस प्रकाशित वीडियो से हटा दिए गए हैं।

यह क्या करता है

• प्रति-प्रक्रिया सटीक ट्रैफ़िक। कर्नेल नेटवर्क ETW प्रदाता को वास्तविक समय में पढ़ता है (वही स्रोत जो Resource Monitor उपयोग करता है): प्रति प्रक्रिया भेजे और प्राप्त किए गए बाइट्स, नाम, पूर्ण पथ और वह रिमोट address:port जिसने सबसे अधिक बाइट्स प्राप्त किए। स्थानीय और LAN ट्रैफ़िक डिफ़ॉल्ट रूप से छिपा रहता है (टॉगल बटन, या local on)।
• होस्टनाम। DNS क्लाइंट ETW प्रदाता से लाइव सीखे जाते हैं (वह नाम जो प्रत्येक प्रोग्राम ने वास्तव में रिज़ॉल्व किया), फ़ॉलबैक के रूप में सादे DNS PTR लुकअप के साथ। तालिका में और प्रत्येक इवेंट में दिखाया जाता है (host)।
• ओडोमीटर और स्पार्कलाइन। बाइट्स OUT और IN के लिए रोलिंग-डिजिट काउंटर, लाइव दरों के साथ, और पाँच मिनट का ग्राफ़।
• प्रक्रिया तालिका वर्तमान दर के अनुसार क्रमबद्ध, प्रति प्रक्रिया 24 घंटे का प्रति-मिनट इतिहास मेमोरी में (history) और history.jsonl में जोड़ा जाता है।
• किल या ब्लॉक। एक पंक्ति चुनें: Kill selected process (या Delete कुंजी, राइट-क्लिक), Block program (firewall) उस प्रोग्राम के पथ के लिए इनबाउंड और आउटबाउंड Windows Firewall ब्लॉक नियम जोड़ता है; राइट-क्लिक मेनू से अनब्लॉक करें। ऐप उन प्रक्रियाओं को किल करने से मना करता है जिनके बिना Windows नहीं चल सकता और स्वयं को भी।
• ऑडिट कीपर। हर 30 सेकंड में यह Filtering Platform Connection ऑडिट उपश्रेणी की जाँच करता है (जिसे auditpol /set /subcategory:"Filtering Platform Connection" /success:enable /failure:enable चालू करता है)। बंद होने का अर्थ है कि यह उसे फिर से चालू कर देता है, लॉग करता है और कनेक्टेड एजेंट्स को बताता है। एक बटन इसे तुरंत करता है।
• कनेक्शन इवेंट। ऑडिटिंग चालू होने पर, Windows प्रत्येक कनेक्शन के लिए Security इवेंट 5156 लिखता है; ऐप प्रत्येक आउटबाउंड गैर-स्थानीय कनेक्शन को प्रोग्राम पथ, गंतव्य, होस्टनाम और पोर्ट के साथ conn इवेंट के रूप में अग्रेषित करता है।
• स्पाइक। 0.75 MB/s से अधिक अपलोड या 1.5 MB/s से अधिक डाउनलोड (कॉन्फ़िगर करने योग्य) एक spike इवेंट, hodometer.log में एक पंक्ति और एक ट्रे सूचना उत्पन्न करता है (अधिकतम 5 मिनट में एक बार)।
• ट्रे। विंडो दिखाने या छिपाने के लिए आइकन पर लेफ्ट-क्लिक करें; पॉज़, ऑडिट रिपेयर, विश्वसनीय प्रोग्राम भूलें, लॉग फ़ोल्डर, README, एग्ज़िट के लिए राइट-क्लिक करें। बंद करने या मिनिमाइज़ करने पर ट्रे में छिप जाता है; एग्ज़िट ट्रे मेनू में है।

इंस्पेक्टर (किसी प्रक्रिया में ज़ूम करें)

किसी पंक्ति पर डबल-क्लिक करें, Inspect selected process दबाएँ, राइट-क्लिक मेनू का उपयोग करें, या सॉकेट पर inspect <pid> show भेजें। अधिकतम आठ Inspector विंडो खुली रह सकती हैं; प्रत्येक एक pid का अनुसरण करती है।

• हेडर। नाम, pid, चल रहा है/बंद हो गया/अवरुद्ध, Authenticode हस्ताक्षरकर्ता (एम्बेडेड हस्ताक्षर, या वह Windows कैटलॉग जो फ़ाइल को कवर करता है; "unsigned" और "signature not trusted" को स्पष्ट रूप से बताया जाता है), पथ, कमांड लाइन, उपयोगकर्ता और अखंडता स्तर, पैरेंट, प्रारंभ समय, चाइल्ड, थ्रेड्स, हैंडल; CPU %, मेमोरी (वर्किंग सेट और प्राइवेट), डिस्क पढ़ने/लिखने की दर, GPU % (प्रति-प्रक्रिया "GPU Engine" काउंटर जो Task Manager उपयोग करता है), CPU समय; बाइट्स आउट/इन दरों के साथ, सक्रिय कनेक्शन, पुनःप्रेषित बाइट्स, विफल कनेक्शन प्रयास, देखे गए पैकेट; केवल इस प्रक्रिया के लिए दो मिनट का दर ग्राफ़।
• कनेक्शन। प्रक्रिया का प्रत्येक TCP कनेक्शन और UDP फ़्लो: रिमोट होस्ट (DNS नाम, अन्यथा TLS SNI, अन्यथा पता), पोर्ट, प्रोटोकॉल, स्थिति (connecting / established / closed / failed, या udp / quic), प्रत्येक दिशा में दरें और कुल, पुनःप्रेषित बाइट्स और पैकेट, स्मूथ्ड और न्यूनतम RTT, स्थानीय पोर्ट, आयु, और SNI, ALPN, TLS संस्करण, HTTP अनुरोध, QUIC संस्करण, कनेक्ट समय, पुनःकनेक्शन, टाइमआउट और कंजेशन सिग्नल, MSS वाला एक जानकारी कॉलम। लाइफसाइकिल और पुनःप्रेषण Kernel-Network प्रदाता (इवेंट 12-17 और उनके IPv6 जुड़वाँ) से आते हैं, स्थितियाँ TCP तालिका से सीड की जाती हैं, RTT और पुनःप्रेषण काउंटर TCP ESTATS से (निरीक्षण के दौरान प्रति कनेक्शन सक्षम)।
• पैकेट। प्रक्रिया के फ़्रेम की लाइव सूची: समय, दिशा, प्रोटोकॉल, रिमोट, लंबाई, TCP फ़्लैग और एक-पंक्ति डिकोड: SNI और ALPN के साथ TLS ClientHello (सेगमेंट्स में पुनःसंयोजित), बातचीत किए गए संस्करण के साथ ServerHello, TLS रिकॉर्ड प्रकार, सादा टेक्स्ट HTTP अनुरोध पंक्ति और Host हेडर, DNS क्वेरी और उत्तर, QUIC संस्करण और पैकेट प्रकार। QUIC v1 के लिए क्लाइंट Initial डिक्रिप्ट किया जाता है (इसकी कुंजियाँ केवल कनेक्शन id से प्राप्त होती हैं, RFC 9001 5.2), इसलिए HTTP/3 कनेक्शन भी SNI और ALPN दिखाते हैं, भले ही Chrome ClientHello को कई आउट-ऑफ़-ऑर्डर CRYPTO फ़्रैगमेंट्स में बिखेर दे। पेलोड एन्क्रिप्टेड रहते हैं; हैंडशेक से आगे कुछ नहीं पढ़ा जाता।
• टाइमलाइन। कनेक्ट / स्थापित (कनेक्ट विलंबता के साथ) / बंद / विफल (Winsock त्रुटि के साथ) / पुनःप्रेषण बर्स्ट, TLS हैलो, DNS क्वेरी, HTTP अनुरोध, QUIC हैलो, निरीक्षित प्रक्रिया द्वारा शुरू की गई चाइल्ड प्रक्रियाएँ, निरीक्षण के दौरान इमेज (DLL) लोड, प्रक्रिया निकास, समाप्त कैप्चर।
• 30 सेकंड कैप्चर → pcapng। केवल इस प्रक्रिया के फ़्रेम को exe के बगल में capture_<name>_<pid>_<time>.pcapng में लिखता है; Wireshark में खुलता है। एक साथ अधिकतम चार कैप्चर (प्रति प्रक्रिया एक, या प्रत्येक प्रक्रिया के लिए एक) चल सकते हैं; हेडर इस प्रक्रिया का कैप्चर दिखाता है और नोट करता है कि अन्य कब चल रहे हैं। Copy JSON पूरी Inspector स्थिति को क्लिपबोर्ड पर डालता है (inspect उत्तर)। Kill और Block इस प्रक्रिया पर कार्य करते हैं।