Hodometer 1.3

Un'applicazione tray nativa per Windows in un singolo file (C, Win32, senza runtime) che mostra esattamente quale programma sta inviando e ricevendo byte e verso quale host, mantiene attivo l'auditing delle connessioni di Windows, consente a te o a un agente AI di terminare un processo o bloccare un programma sul momento, e trasmette tutto tramite un socket localhost che solo i programmi che hai esplicitamente autorizzato possono usare.

La 1.2 aggiunge l'Inspector: ingrandisci un singolo processo e visualizza le sue connessioni (stato, RTT, ritrasmissioni, tempo di connessione), i suoi pacchetti decodificati sul filo (TLS SNI/ALPN, QUIC, DNS, HTTP), un profilo del processo (CPU, memoria, disco, GPU, utente, riga di comando, firmatario) e una timeline (connessioni, errori, processi figli, caricamenti di DLL), con esportazione pcapng. Tutto ciò proviene dai provider kernel di Windows stessi e da ndiscap.sys; non c'è alcun driver da installare.

La 1.3 rende il socket adatto a molti agenti contemporaneamente (il design Sentinel in SENTINEL.md): i comandi vengono eseguiti su thread worker, così un inspect lento da un client non blocca più gli altri; fino a quattro catture pcapng vengono eseguite contemporaneamente, una per processo; conns pagina attraverso ogni flusso e può filtrare ai flussi attivi o ai flussi toccati da un timestamp; un watcher può richiedere solo gli handshake decodificati invece di ogni frame; un evento flowinfo annuncia l'SNI, ALPN, richiesta HTTP o versione TLS di ciascun flusso nel momento in cui viene decodificato; ogni connessione può osservare 64 processi; inspect riporta lo SHA-256 del file e memorizza nella cache i controlli delle firme.

Demo

Guarda o scarica la demo di 72 secondi · Sottotitoli in inglese

Il filmato reale di Hodometer segue un upload controllato attraverso l'ispezione del processo, la cattura dei pacchetti e un blocco del firewall verificato. Il segmento Sentinel è un'indagine AI simulata chiaramente etichettata, con punteggi e comportamento dry-run calcolati dal codice del repository. I dettagli personali e i processi non correlati sono rimossi dal video pubblicato.

Cosa fa

• Traffico esatto per processo. Legge in tempo reale il provider ETW di rete del kernel (la stessa fonte usata da Resource Monitor): byte inviati e ricevuti per processo, con nome, percorso completo e l'address:port remoto che ha ricevuto più byte. Il traffico locale e LAN è nascosto per impostazione predefinita (pulsante di attivazione/disattivazione, oppure local on).
• Nomi host. Appresi in tempo reale dal provider ETW del client DNS (il nome che ogni programma ha effettivamente risolto), con una ricerca DNS PTR semplice come fallback. Mostrati nella tabella e in ogni evento (host).
• Contachilometri e sparkline. Contatori a cifre rotanti per i byte OUT e IN con velocità in tempo reale, e un grafico di cinque minuti.
• Tabella dei processi ordinata per velocità corrente, 24 h di cronologia al minuto per processo in memoria (history) e aggiunta a history.jsonl.
• Termina o blocca. Seleziona una riga: Termina processo selezionato (o tasto Canc, clic destro), Blocca programma (firewall) aggiunge regole di blocco in entrata e in uscita del Windows Firewall per il percorso di quel programma; sblocca dal menu contestuale. L' app rifiuta di terminare i processi senza i quali Windows non può funzionare e se stessa.
• Custode dell'audit. Ogni 30 s controlla la sottocategoria di audit Filtering Platform Connection (quella che auditpol /set /subcategory:"Filtering Platform Connection" /success:enable /failure:enable attiva). Se disattivata, la riattiva, la registra e avvisa gli agenti connessi. Un pulsante la esegue immediatamente.
• Eventi di connessione. Con l'audit attivo, Windows scrive l'evento di sicurezza 5156 per ogni connessione; l'app inoltra ogni connessione in uscita non locale come evento conn con percorso del programma, destinazione, nome host e porta.
• Picchi. Upload superiore a 0,75 MB/s o download superiore a 1,5 MB/s (configurabile) emette un evento spike, una riga in hodometer.log e una notifica nella tray (al massimo una ogni 5 minuti).
• Tray. Clic sinistro sull'icona per mostrare o nascondere la finestra; clic destro per pausa, riparazione audit, dimentica programmi attendibili, cartella dei log, README, esci. Chiudere o ridurre a icona nasconde nella tray; Esci è nel menu della tray.

Inspector (ingrandisci un processo)

Fai doppio clic su una riga, premi Ispeziona processo selezionato, usa il menu contestuale, oppure invia inspect <pid> show tramite il socket. È possibile avere aperte fino a otto finestre Inspector; ciascuna segue un pid.