または、[Releases](https://github.com/matthart1983/netwatch/releases/latest)からビルド済みバイナリを入手してください。

**Windowsでは[Npcap](https://npcap.com/#download)のインストールが必要です** — インストーラーのデフォルト設定で問題ありません。Npcapがない場合、NetWatchは起動時にその旨を表示して終了します。**ソースからのビルド**（`cargo install`、`paru -S netwatch-tui`）にはlibpcapの開発用ヘッダーが必要です：Debian/UbuntuとAlpineでは`libpcap-dev`、Fedora/RHELでは`libpcap-devel`、Archでは`libpcap`です。これらがない場合、リンク時に`cannot find -lpcap`というエラーが表示されます。macOSにはlibpcapが同梱されています。以下の`-static` Linuxバイナリはlibpcapをバンドルしており、追加のインストールは不要です。

Nix、Arch、Scoopのパッケージはコミュニティのパッケージャーによってメンテナンスされています — ありがとうございます。パッケージングの問題はそれらのパッケージャーに報告してください。netwatchのバグはこちらに報告してください。パッケージがリリースに追いついていない場合は、[Repologyページ](https://repology.org/project/netwatch-tui/versions)で確認できます。

<details>
<summary><strong>全プラットフォーム &amp; ソースからのビルド</strong></summary>

| プラットフォーム | ダウンロード |
|----------|----------|
| Linux (x86_64, Debian/Ubuntu) | [`netwatch-linux-x86_64.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| Linux (aarch64, Debian/Ubuntu) | [`netwatch-linux-aarch64.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| Linux (x86_64, static — Arch/Fedora/Alpine/任意のディストリビューション) | [`netwatch-linux-x86_64-static.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| Linux (aarch64, static — Arch/Fedora/Alpine/任意のディストリビューション) | [`netwatch-linux-aarch64-static.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| macOS (Intel) | [`netwatch-macos-x86_64.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| macOS (Apple Silicon) | [`netwatch-macos-aarch64.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| Windows (x86_64) | [`netwatch-windows-x86_64.exe.zip`](https://github.com/matthart1983/netwatch/releases/latest) |

`-static` Linuxビルドはlibpcapをバンドルしており、実行時の依存関係はありません — デフォルトのビルドで`libpcap.so.0.8: cannot open shared object file`と報告されるArch、Fedora、Alpine、または任意のディストリビューションでこれらを使用してください。

Windowsビルドには[Npcap](https://npcap.com/#download)が必要です — 初回実行前にインストールしてください。インストーラーのデフォルト設定で問題ありません：NetWatchは`System32\Npcap`を探します。Npcapは実際にそこに`wpcap.dll`を配置するため、*Install Npcap in WinPcap API-compatible Mode*は不要です。Npcapがまったくない場合は、Windowsのエラーボックスではなく、不足しているものを示すNetWatchのメッセージが表示されます。（v0.29.1以前ではそのチェックボックスが必要でした — [#47](https://github.com/matthart1983/netwatch/issues/47)を参照してください。）

**ソースから:**```bash
git clone https://github.com/matthart1983/netwatch.git && cd netwatch
cargo build --release

それだけです。`1`〜`9`でタブを切り替え、`?`でヘルプ、`q`で終了します。ダッシュボードは5秒で役立ちます。それ以降の内容は、さらに深く掘り下げたいときに参照してください。

> **`sudo`なしのLinux:** キャプチャ機能を一度だけ付与して、通常ユーザーとして実行してください —
> `sudo setcap 'cap_net_raw,cap_bpf,cap_perfmon+eip' "$(which netwatch)"`。アップグレードのたびに再実行してください（[詳細](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md#running-without-sudo-linux)）。

### TLSの復号を60秒で確認する

NetWatchが何かを理解する最速の方法 — 自分が制御するTLS 1.3セッションの平文を読み取る様子を見てください:```bash
sudo netwatch                                              # 1. launch, then open the Packets tab (4)
SSLKEYLOGFILE=/tmp/sslkeylog.txt curl https://example.com  # 2. any client that exports its keys
#                                                            3. filter the Packets tab with:  decrypted:true

新しい宛先は`✗ drift`の判定とアラートとともに着地する。何もブロックされていない——重要なのは、あなたが*知らされた*ということだ。

判定は意図的に二値ではない:

| | |
|---|---|
| `✓ sni` / `✓ ip` | 宣言されたホスト名またはアドレスに一致——正確 |
| `~ asn` | 自律システムのみで一致——これは*そのASが運用するすべて*を許容することを意味し、ハイパースケーラーにとっては事実上無制限 |
| `? ech` | Encrypted ClientHello: 名前は設計上隠されているため、これは「判断不能」であり「悪い」ではない |
| `✗ drift` | 許可リストの外 |
| `— no rule` | このプログラムは一度も宣言されていない——何もチェックされなかった |
| `✗ undeclared` | ルールなし、`strict = true`下——ポリシーは完全であると主張しているため、*不在*自体が発見事項 |

ルールは完全一致のホスト名、`*.ワイルドカード`、自律システム、CIDRブロック（`10.0.0.0/8`）、およびポートを受け付ける。`strict = true`こそが、このリンターを「宣言したソフトウェアが不正動作したら教えて」から「一度も宣言していないものが通信を始めたら教えて」へと変えるものだ——それが実際の侵害の形である。

## 得られるもの

`1`–`9`と`0`で切り替える10個のタブ:

| # | タブ | 表示内容 |
|---|-----|---------------|
| 1 | **ダッシュボード** | インターフェース、帯域幅グラフ、上位接続、ゲートウェイ/DNSの健全性、レイテンシのヒートマップ。5秒で役立つ。 |
| 2 | **接続** | プロセス+PID、プロトコル、状態、GeoIP、レイテンシのスパークラインを備えたすべてのソケット。 |
| 3 | **インターフェース** | インターフェースごとのIPv4/IPv6、MAC、MTU、RX/TX、エラー、ドロップ。 |
| 4 | **パケット** | 実際のL7デコード、TLS 1.3復号、JA4、フローごとのストリーム追跡、フィルター、PCAPエクスポートを備えたライブキャプチャ。 |
| 5 | **統計** | バイト数によるプロトコル内訳+TCPハンドシェイク時間のヒストグラム。 |
| 6 | **トポロジー** | マシン→ゲートウェイ→DNS→上位ホストのASCIIマップ、traceroute付き。 |
| 7 | **タイムライン** | TCP状態で色分けされた接続タイムライン。セキュリティアラートはここに届く。 |
| 8 | **プロセス** | ライブRX/TXと接続数によるプロセスごとの帯域幅ランキング。 |
| 9 | **インサイト** | *(オプトイン)* スナップショットをローカル/クラウドのLLMに送り、平易な言葉での分析を得る。 |
| 0 | **エグレス** | 各プロセスが通信する対象（ホスト名/AS/ポート）を学習し、そのベースラインをワンキーでポリシーに昇格させ、その後ドリフトを警告する。監視のみで、ブロックはしない。 |

パケットタブはフォレンジックの本拠地だ——深いプロトコルデコード、ライブTLS 1.3復号、JA4脅威ハンティング、Wireshark風の表示フィルター、インシデントキャプチャ。**[完全な機能リファレンスを見る →](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md)**

### ライトビュー

10個のタブはオペレーター向けの計器だ。問題が単に*「誰が私のネットワークを使っているのか、そして接続は大丈夫か？」*だけの場合——1台のマシン、PiへのSSHセッション、tmux分割——には`--lite`がある:```bash
netwatch --lite     # one screen, fits 80×24

That's the screen at the top of this README. The signature element is the **mirrored dual graph**: download grows up from a centre time axis, upload grows down from the same axis. Traffic symmetry becomes a shape you recognise without reading a number — a download burst is a cliff above the line, a backup job is a cliff below it. Both halves are braille at two samples per character cell, and every cell is coloured by its **height in the graph** rather than by which series it belongs to, so you see a spike's severity before you measure it against the axis.

Throughput ramps cool→bright because high bandwidth is *busy*, not *bad* — a saturated link during a backup is working. Only bounded values where high genuinely is bad — link saturation, latency budget per hop — get the green→amber→red treatment, and their meters colour by position along the bar, so the red zone is visible before you reach it.

Below the graph: per-interface rates with 60-second sparklines, four-hop latency budgets (gateway, DNS, internet, and the slowest peer you're actually talking to), and the connection table with the selected row's detail hoisted into the top of the same box — no new screen, no back button. The detail row carries kernel TCP state — `cwnd`, `ssthresh`, `mss`, `rwnd` — read straight from the kernel: `inet_diag` over netlink on Linux, the `net.inet.tcp.pcblist64` sysctl on macOS. The two kernels disagree about units (Linux counts segments, BSD counts bytes), so macOS values are normalised against the MSS and the column means the same thing on both. Windows reads `--` until `GetPerTcpConnectionEStats` is wired up.

`V` cycles `full → lite → dense`, or set it once under **Settings → View**. Below 130×44 it falls back to the same 80×24 grid Lite targets — which fills its area too — and it never scrolls sideways.

## Deeper dives

| Guide | What's in it |
|-------|--------------|
| **[Feature reference](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md)** | Every keybinding, the display-filter language, protocol decoder list, themes, and config options. |
| **[TLS 1.3 decryption](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md#tls-13-decryption)** | How `SSLKEYLOGFILE` decryption works, supported cipher suites, and what it can and can't read. |
| **[Threat hunting with JA4](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md#threat-hunting-with-ja4)** | Fingerprinting clients and pivoting across flows. |
| **[Security & the Landlock sandbox](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md#security--forensics)** | The threat model, capability dropping, and the filesystem allow-list. |
| **[Egress policy linting](https://github.com/matthart1983/netwatch/blob/main/docs/egress-linter-plan.md)** | The observe → promote → warn model, the rule language, `strict` mode, and the NDJSON export schema. |
| **[Flight Recorder](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md#flight-recorder)** | Arming, freezing, and the contents of an incident bundle. |
| **[AI Insights](https://github.com/matthart1983/netwatch/blob/main/docs/INSIGHTS.md)** | Optional local/cloud LLM analysis (off by default). |

## How it works```
Raw bytes → Ethernet → IPv4/IPv6/ARP → TCP/UDP/ICMP → L7 decoders
                                            ↓
                          Per-flow stream tracking · Handshake timing
                          TLS 1.3 decryption · JA4 · Threat detection