NetScope

Windows के लिए ऑफ़लाइन-प्रथम नेटवर्क जाँच और प्रतिक्रिया प्लेटफ़ॉर्म।

NetScope सुरक्षा विश्लेषकों, घटना प्रतिक्रियाकर्ताओं और CTF खिलाड़ियों के लिए एक डेस्कटॉप एप्लिकेशन है। यह एक पैकेट कैप्चर (.pcap / .pcapng) या लाइव इंटरफ़ेस लेता है और उसे पूर्ण, साक्ष्य-समर्थित जाँच में बदल देता है — निर्णय, आक्रमण कहानी, समझौता संकेतक, निकाली गई लूट, और एक-क्लिक प्रतिक्रिया क्रियाएँ — पूरी तरह आपकी मशीन पर, बिना किसी क्लाउड सेवा और बिना भुगतान वाले API के।

NetScope क्यों?

आप Wireshark, Suricata और कुछ स्क्रिप्ट की मदद से इसमें से अधिकांश हाथ से कर सकते हैं — NetScope का काम उस सहसंबंध को एक ही बार में स्वचालित रूप से करना है, बिना कुछ भी आपकी मशीन से बाहर भेजे:

• एक निर्णय, पंद्रह टैब नहीं। NetScope प्रोटोकॉल विश्लेषण, IOC मिलान और विसंगति पहचान को एक ही आक्रमण कहानी में सहसंबद्ध करता है, बजाय इसके कि आपको tshark आउटपुट, Suricata अलर्ट और IOC फ़ीड को स्वयं मैन्युअल रूप से क्रॉस-रेफरेंस करना पड़े।
• शून्य क्लाउड, शून्य API कुंजियाँ। कोई VirusTotal कुंजी नहीं, कोई क्लाउड अपलोड नहीं, आपकी मशीन से कुछ भी बाहर नहीं जाता — यह तब मायने रखता है जब आप लाइव घटना या क्लाइंट के कैप्चर को संभाल रहे हों।
• मुफ़्त, "फ्री टियर" नहीं। कोई भुगतान वाला बैकएंड नहीं, कोई उपयोग सीमा नहीं, कोई लाइसेंस नहीं।
• सिर्फ विश्लेषण नहीं, प्रतिक्रिया। फ़ायरवॉल नियम, प्रक्रिया समाप्ति और मेमोरी कैप्चर निर्मित हैं — अधिकांश मुफ्त विश्लेषक "यहाँ क्या हुआ" पर ही रुक जाते हैं, NetScope आपको उस पर कार्रवाई करने में भी मदद करता है।

स्क्रीनशॉट

समझौता निर्णय बैनर के साथ स्ट्रीम पुनर्संयोजन — कैप्चर से पुनर्निर्मित एक FTP सत्र, उजागर क्लियरटेक्स्ट क्रेडेंशियल्स, और tshark + Suricata संवर्धन स्वचालित रूप से ऊपर परत किया गया:

Loot टैब — कैप्चर से निकाली गई क्रेडेंशियल्स, हैश, कुंजियाँ और टोकन, प्रत्येक को एक-क्लिक कॉपी के साथ:

डाउनलोड

पहले से निर्मित Windows बाइनरी हर रिलीज़ के साथ संलग्न हैं:

→ नवीनतम रिलीज़ डाउनलोड करें

पूर्ण इंस्टॉल और चलाने के निर्देश — स्रोत से चलाने सहित — INSTALL.md में हैं।

NetScope लॉन्च के समय प्रशासक अधिकार माँगता है। इसकी प्रतिक्रिया क्रियाओं (होस्ट फ़ायरवॉल नियम, प्रक्रिया समाप्ति, मेमोरी कैप्चर) के लिए उन्नत विशेषाधिकार आवश्यक है। शुरू होने पर आपको एक Windows UAC संकेत दिखाई देगा।

यह क्या करता है

NetScope में दो प्रवेश बिंदु हैं जो एक ही विश्लेषण इंजन को फ़ीड करते हैं:

• ऑफ़लाइन PCAP विश्लेषण — एक कैप्चर खोलें और पूर्ण फोरेंसिक विवरण प्राप्त करें।
• लाइव मॉनिटरिंग — स्थानीय इंटरफ़ेस से (dumpcap के माध्यम से) कैप्चर करें और उसी तरह विश्लेषण करें, लाइव ARP-वॉच और DNS सुरक्षा के साथ।

सब कुछ स्थानीय रूप से चलता है। पार्सर और विश्लेषक शुद्ध TypeScript हैं और उन्हें किसी बाहरी टूल की आवश्यकता नहीं है; जब tshark, Suricata, Zeek, या yara जैसे मुफ्त टूल इंस्टॉल होते हैं, NetScope उनकी पहचानों को स्वचालित रूप से ऊपर परत करता है।

जाँच सतह

• अवलोकन — एक कमांड-सेंटर निर्णय, प्रमुख मेट्रिक्स, पुनर्निर्मित आक्रमण कहानी, शीर्ष साक्ष्य और अनुशंसित अगले कदम।
• खतरे और पहचान — गंभीरता, MITRE ATT&CK तकनीक मैपिंग और एक हमले-श्रृंखला सिग्नेचर इंजन (CVE शोषण, रिवर्स शेल, आक्रामक उपकरण) के साथ सहसंबद्ध निष्कर्ष।
• प्रोटोकॉल फोरेंसिक — HTTP (यूज़र-एजेंट, Log4j), DNS (लेनदेन विश्लेषण, ऑटो-डिकोड के साथ टनलिंग और एक्सफ़िल्ट्रेशन पुनर्निर्माण), TLS (ऑफ़लाइन मैलवेयर-परिवार डेटाबेस के विरुद्ध JA3/JA4 फ़िंगरप्रिंटिंग), SMB, FTP, SMTP/MIME, DHCP, NBNS, Kerberos, ICMP, ARP।
• होस्ट — OS फ़िंगरप्रिंटिंग के साथ DHCP / NBNS / Kerberos से निर्मित इन्वेंट्री।
• लूट — निकाली गई क्रेडेंशियल्स, NTLM / NetNTLMv2 हैश (hashcat-तैयार), फ्लैग, API कुंजियाँ और JWT, क्रैकिंग संकेतों के साथ।
• विसंगतियाँ — बीकनिंग, उच्च-एन्ट्रॉपी चैनल, ट्रैफ़िक असममितता, दुर्लभ यूज़र-एजेंट और कमज़ोर क्रिप्टो, रैंक किए गए।
• अस्थायी विश्लेषण — रिदम फ़िंगरप्रिंटिंग, क्रॉस-प्रोटोकॉल सत्र सिलाई, TCP-टाइमस्टैम्प क्लॉक-स्क्यू (NAT / मल्टी-होस्ट पहचान) और OS-फ़िंगरप्रिंट बहाव।
• इंटेल — मुफ्त ऑफ़लाइन फ़ीड (abuse.ch, FireHOL, Tor) से ज्ञात-खराब संकेतक।
• जियो / एक्सफिल — ऑफ़लाइन GeoIP देश विभाजन और एंडपॉइंट्स का विश्व मानचित्र।
• प्रोटोकॉल पिवट — पोर्ट और सेवा विभाजन के साथ एक प्रोटोकॉल पदानुक्रम वृक्ष।
• वर्कबेंच — मनमानी कलाकृतियों के लिए एक ट्रांसफ़ॉर्म / डिकोड / स्क्रिप्टिंग बेंच, जिसमें एक डीऑबफसकेटर और PE पार्सर शामिल है।
• स्ट्रीम पुनर्संयोजन — TCP/UDP फ़ॉलो-स्ट्रीम, फ़ाइल कार्विंग और निष्कर्षण, ZIP और मल्टी-पार्ट पुनर्संयोजन।
• तुलना — सहेजी गई बेसलाइन के विरुद्ध कैप्चर का अंतर देखें।

प्रतिक्रिया

• होस्ट फ़ायरवॉल नियम निर्माण, प्रक्रिया समाप्ति और मेमोरी कैप्चर (उन्नत विशेषाधिकार के साथ)।
• STIX 2.1 / CSV / Sigma संकेतक निर्यात।
• Markdown और HTML घटना-रिपोर्ट निर्माण।
• स्थानीय केस प्रबंधन: नोट्स, टैग, बुकमार्क और स्थिति, डिस्क पर संग्रहीत।

इंस्टॉल और चलाएँ

पूरी गाइड के लिए INSTALL.md देखें। संक्षिप्त संस्करण:

ऐप का उपयोग करें: रिलीज़ पेज से इंस्टॉलर या पोर्टेबल बिल्ड डाउनलोड करें और चलाएँ।

स्रोत से चलाएँ:

npm install
npm run dev

अपने स्वयं के Windows बाइनरी बनाएँ:

npm run build:win

आर्टिफैक्ट release/ में लिखे जाते हैं।

त्वरित आरंभ

1. NetScope खोलें और .pcap / .pcapng फ़ाइल डालें, या कैप्चर करने के लिए लाइव इंटरफ़ेस चुनें।
2. NetScope कैप्चर को पार्स करता है और अवलोकन टैब पर एक निर्णय दिखाता है — गंभीरता, पुनर्निर्मित आक्रमण कहानी और शीर्ष साक्ष्य।
3. उस निर्णय के पीछे के समर्थन विवरण के लिए खतरे, प्रोटोकॉल फोरेंसिक या लूट में गहराई से जाएँ।

(इस प्रवाह का एक छोटा स्क्रीन रिकॉर्डिंग यहाँ होगा।)

आर्किटेक्चर

NetScope एक सख्त प्रक्रिया सीमा के साथ एक Electron एप्लिकेशन है।

src/
  main/       Electron main process — analysis engine, services, IPC handlers
    services/pcap/   pure-TS PCAP parser, decoders, analyzers, worker thread
  preload/    context-isolated bridge (window.netscope) — no Node in the renderer
  renderer/   React 19 UI (Vite)
  shared/     IPC contract and data model shared by main and renderer

• रेंडरर में कॉन्टेक्स्ट आइसोलेशन चालू है और Node एकीकरण बंद है। सभी विशेषाधिकार प्राप्त कार्य मुख्य प्रक्रिया में होते हैं और एक टाइप किए गए IPC अनुबंध (src/shared/ipc.ts) के माध्यम से पहुँचे जाते हैं।
• PCAP पार्सिंग एक वर्कर थ्रेड पर चलती है जिसमें फ़ाइल आकार के अनुसार गतिशील पैकेट बजट होता है, इसलिए बड़े कैप्चर UI या सहसंबंध इंजन को कभी अवरुद्ध नहीं करते।
• रनटाइम पर कोई नेटवर्क कॉल नहीं। थ्रेट-इंटेल, GeoIP और JA3 डेटाबेस मुफ्त स्रोतों से स्थानीय रूप से कैश किए जाते हैं; विश्लेषण पूरी तरह ऑफ़लाइन काम करता है।

एक पूर्ण तकनीकी विवरण docs/FULL_REPORT.md में है।

वैकल्पिक बाहरी उपकरण

NetScope इनमें से किसी के बिना भी काम करता है, लेकिन उपलब्ध होने पर उनका उपयोग करेगा:

• tshark / dumpcap (Wireshark) — गहरा विघटन और लाइव कैप्चर।
• Suricata — सिग्नेचर-ग्रेड IDS पहचान।
• Zeek — प्रोटोकॉल लॉग और ऐप-लेयर कलाकृतियाँ।
• yara — कार्व की गई फ़ाइलों और स्ट्रीम पर मैलवेयर पैटर्न मिलान।
• procdump — प्रतिक्रिया के दौरान मेमोरी कैप्चर।

सभी मुफ्त और ओपन-सोर्स हैं। इन-ऐप सेटअप स्क्रीन पता लगाती है कि क्या स्थापित है।

बड़े कैप्चर संभालना

इन-ऐप पार्सर पूरी फ़ाइल को मेमोरी में लोड करता है, इसलिए एक व्यावहारिक सीमा है। लगभग 500 MB तक की फ़ाइलें आराम से विश्लेषित होती हैं; 500 MB – 1.7 GB काम करती है लेकिन मेमोरी-भारी है; 1.7 GB से ऊपर NetScope साफ़ रूप से मना कर देता है और editcap के साथ विभाजित करने या tshark / Zeek को बाह्य रूप से चलाने का सुझाव देता है। बड़ी फ़ाइलें पैकेट-कैप की जाती हैं और स्पष्ट रूप से आंशिक रूप में चिह्नित की जाती हैं।

इस प्रोजेक्ट का समर्थन करें

NetScope मुफ्त, MIT-लाइसेंस प्राप्त है, और इसके पीछे खाली समय के अलावा कोई फंडिंग नहीं है। यदि यह किसी जाँच में आपका समय बचाता है, तो विकास को प्रायोजित करने पर विचार करें — यह सीधे उन घंटों को वित्तपोषित करता है जो नए प्रोटोकॉल पार्सर और पहचानों में जाते हैं।

लाइसेंस

MIT लाइसेंस के अंतर्गत जारी किया गया।