NetScope

Piattaforma offline-first per indagine e risposta di rete su Windows.

NetScope è un'applicazione desktop per analisti di sicurezza, responder di incidenti e giocatori CTF. Prende una cattura di pacchetti (.pcap / .pcapng) o un'interfaccia live e la trasforma in un'indagine completa e basata su prove — verdetto, storia dell'attacco, indicatori di compromissione, bottino estratto e azioni di risposta in un clic — interamente sulla tua macchina, senza servizi cloud e senza API a pagamento.

Perché NetScope

Gran parte di questo si può ottenere manualmente con Wireshark, Suricata e qualche script — il compito di NetScope è fare quella correlazione automaticamente, in un'unica passata, senza inviare nulla fuori dalla tua macchina:

• Un verdetto, non quindici schede. NetScope correla analisi dei protocolli, corrispondenza degli IOC e rilevamento delle anomalie in un'unica storia di attacco, invece di richiederti di incrociare manualmente l'output di tshark, gli avvisi di Suricata e i feed IOC.
• Zero cloud, zero chiavi API. Nessuna chiave VirusTotal, nessun upload cloud, nulla lascia la tua macchina — questo è importante quando gestisci un incidente in corso o una cattura di un cliente.
• Gratuito, non "livello gratuito". Nessun backend a pagamento, nessun limite di utilizzo, nessuna licenza.
• Risposta, non solo analisi. Regole firewall, terminazione dei processi e acquisizione della memoria sono integrate — la maggior parte degli analizzatori gratuiti si ferma a "ecco cosa è successo", NetScope ti aiuta anche ad agire.

Screenshot

Riassemblaggio dello stream con un banner di verdetto in tempo reale — una sessione FTP ricostruita dalla cattura, credenziali in chiaro esposte e arricchimento tshark + Suricata sovrapposto automaticamente:

Scheda Loot — credenziali, hash, chiavi e token estratti dalla cattura, ciascuno con copia in un clic:

Download

I binari Windows precompilati sono allegati a ogni release:

→ Scarica l'ultima release

Le istruzioni complete di installazione ed esecuzione — incluso l'avvio dal sorgente — sono in INSTALL.md.

NetScope richiede diritti di amministratore all'avvio. L'elevazione è necessaria per le sue azioni di risposta (regole firewall dell'host, terminazione dei processi, acquisizione della memoria). Vedrai una sola richiesta UAC di Windows all'avvio.

Cosa fa

NetScope ha due punti di ingresso che alimentano lo stesso motore di analisi:

• Analisi PCAP offline — apri una cattura e ottieni una completa analisi forense.
• Monitoraggio live — cattura da un'interfaccia locale (tramite dumpcap) e analizza allo stesso modo, con ARP-watch live e difesa DNS.

Tutto viene eseguito localmente. Il parser e l'analizzatore sono TypeScript puro e non richiedono strumenti esterni; quando strumenti gratuiti come tshark, Suricata, Zeek o yara sono installati, NetScope sovrappone automaticamente le loro rilevazioni.

Aree di indagine

• Overview — un verdetto da centro di comando, metriche chiave, la storia dell'attacco ricostruita, le principali prove e i passi successivi consigliati.
• Threats and detections — risultati correlati con severità, mappatura delle tecniche MITRE ATT&CK e un motore di firme per catene di attacco (exploit CVE, reverse shell, strumentazione offensiva).
• Protocol forensics — HTTP (user-agent, Log4j), DNS (analisi delle transazioni, ricostruzione di tunneling ed esfiltrazione con decodifica automatica), TLS (impronte JA3/JA4 confrontate con un database offline di famiglie di malware), SMB, FTP, SMTP/MIME, DHCP, NBNS, Kerberos, ICMP, ARP.
• Hosts — inventario costruito da DHCP / NBNS / Kerberos, con fingerprinting del sistema operativo.
• Loot — credenziali estratte, hash NTLM / NetNTLMv2 (pronti per hashcat), flag, chiavi API e JWT, con suggerimenti per il cracking.
• Anomalies — beaconing, canali ad alta entropia, asimmetria del traffico, user-agent rari e crittografia debole, classificati.
• Temporal analysis — fingerprinting del ritmo, ricomposizione di sessioni cross-protocollo, clock-skew dei timestamp TCP (rilevamento NAT / multi-host) e deriva del fingerprinting del sistema operativo.
• Intel — indicatori noti come dannosi da feed offline gratuiti (abuse.ch, FireHOL, Tor).
• Geo / Exfil — ripartizione per paese GeoIP offline e mappa mondiale degli endpoint.
• Protocols pivot — albero gerarchico dei protocolli con ripartizione di porte e servizi.
• Workbench — banco di trasformazione / decodifica / scripting per artefatti arbitrari, incluso un deofuscatore e un parser PE.
• Stream reassembly — follow-stream TCP/UDP, file carving ed estrazione, ricomposizione di file ZIP e multiparte.
• Compare — confronta una cattura con una baseline salvata.

Risposta

• Creazione di regole firewall dell'host, terminazione dei processi e acquisizione della memoria (con elevazione).
• Esportazione di indicatori in STIX 2.1 / CSV / Sigma.
• Generazione di report di incidente in Markdown e HTML.
• Gestione locale dei casi: note, tag, segnalibri e stato, salvati su disco.

Installazione ed esecuzione

Vedi INSTALL.md per la guida completa. La versione breve:

Usa l'app: scarica l'installer o la build portabile dalla pagina delle Release ed eseguila.

Esegui dal sorgente:

npm install
npm run dev

Crea i tuoi binari Windows:

npm run build:win

Gli artefatti vengono scritti in release/.

Avvio rapido

1. Apri NetScope e trascina un file .pcap / .pcapng, oppure seleziona un'interfaccia live da cui catturare.
2. NetScope analizza la cattura e mostra un verdetto nella scheda Overview — severità, la storia dell'attacco ricostruita e le principali prove.
3. Approfondisci Threats, Protocol forensics o Loot per i dettagli a sostegno di quel verdetto.

(Una breve registrazione video di questo flusso verrà aggiunta qui.)

Architettura

NetScope è un'applicazione Electron con un confine di processo rigoroso.

src/
  main/       Electron main process — analysis engine, services, IPC handlers
    services/pcap/   pure-TS PCAP parser, decoders, analyzers, worker thread
  preload/    context-isolated bridge (window.netscope) — no Node in the renderer
  renderer/   React 19 UI (Vite)
  shared/     IPC contract and data model shared by main and renderer

• L'isolamento del contesto è attivo e l'integrazione Node è disattivata nel renderer. Tutto il lavoro privilegiato avviene nel processo principale ed è raggiungibile tramite un contratto IPC tipizzato (src/shared/ipc.ts).
• Il parsing dei PCAP viene eseguito su un thread worker con un budget dinamico di pacchetti adattato alla dimensione del file, così le catture di grandi dimensioni non bloccano mai l'interfaccia o il motore di correlazione.
• Nessuna chiamata di rete in fase di esecuzione. I database di threat-intel, GeoIP e JA3 vengono memorizzati nella cache localmente da fonti gratuite; l'analisi funziona completamente offline.

Una descrizione tecnica completa si trova in docs/FULL_REPORT.md.

Strumenti esterni opzionali

NetScope funziona senza nessuno di questi, ma li utilizzerà se presenti:

• tshark / dumpcap (Wireshark) — dissezione più approfondita e cattura live.
• Suricata — rilevazioni IDS a livello di firma.
• Zeek — log dei protocolli e artefatti del livello applicativo.
• yara — corrispondenza di pattern malware su file e stream estratti.
• procdump — acquisizione della memoria durante la risposta.

Tutti sono gratuiti e open-source. La schermata di configurazione integrata rileva cosa è installato.

Gestione di catture di grandi dimensioni

Il parser integrato carica l'intero file in memoria, quindi c'è un limite pratico. I file fino a circa 500 MB vengono analizzati comodamente; da 500 MB a 1,7 GB funziona ma è pesante in termini di memoria; oltre 1,7 GB NetScope rifiuta in modo pulito e suggerisce di suddividere con editcap o di eseguire tshark / Zeek esternamente. I file di grandi dimensioni vengono limitati nel numero di pacchetti e chiaramente contrassegnati come parziali.

Supporta questo progetto

NetScope è gratuito, con licenza MIT, e non ha finanziamenti oltre al tempo libero. Se ti fa risparmiare tempo in un'indagine, considera di sponsorizzare lo sviluppo — finanzia direttamente le ore dedicate a nuovi parser di protocolli e rilevazioni.

Licenza

Rilasciato sotto la Licenza MIT.