または[Releases](https://github.com/matthart1983/netwatch/releases/latest)からビルド済みバイナリを入手してください。

Nix、Arch、Scoopのパッケージはコミュニティのパッケージメンテナによって保守されています—ありがとうございます。パッケージングの問題はそちらへ報告してください。netwatchのバグはこちらへ報告してください。パッケージがリリースに遅れている場合は、[Repologyページ](https://repology.org/project/netwatch-tui/versions)に表示されます。

<details>
<summary><strong>全プラットフォーム &amp; ソースからのビルド</strong></summary>

| プラットフォーム | ダウンロード |
|----------|----------|
| Linux (x86_64, Debian/Ubuntu) | [`netwatch-linux-x86_64.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| Linux (aarch64, Debian/Ubuntu) | [`netwatch-linux-aarch64.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| Linux (x86_64, 静的 — Arch/Fedora/Alpine/任意のディストリビューション) | [`netwatch-linux-x86_64-static.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| Linux (aarch64, 静的 — Arch/Fedora/Alpine/任意のディストリビューション) | [`netwatch-linux-aarch64-static.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| macOS (Intel) | [`netwatch-macos-x86_64.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| macOS (Apple Silicon) | [`netwatch-macos-aarch64.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |

`-static` Linuxビルドはlibpcapをバンドルしており、ランタイム依存関係がありません—デフォルトのビルドで`libpcap.so.0.8: cannot open shared object file`と報告されるArch、Fedora、Alpine、または任意のディストリビューションではこれらを使用してください。

**ソースから:**```bash
git clone https://github.com/matthart1983/netwatch.git && cd netwatch
cargo build --release

これだけです。タブの切り替えは `1`–`9`、ヘルプは `?`、終了は `q` です。ダッシュボードは5秒で役立ちます。以下は、さらに深く掘り下げたいときに参照してください。

> **Linux で `sudo` を使わない場合:** キャプチャ権限を一度付与して、通常のユーザーとして実行してください —
> `sudo setcap 'cap_net_raw,cap_bpf,cap_perfmon+eip' "$(which netwatch)"`. アップグレードのたびに再実行してください ([詳細](https://github.com/matthart1983/netwatch/blob/HEAD/docs/REFERENCE.md#running-without-sudo-linux)).

### 60秒でTLSの復号を確認する

NetWatch を理解する最速の方法は、*あなたが*制御する TLS 1.3 セッションの平文を読み取る様子を見ることです:```bash
sudo netwatch                                              # 1. launch, then open the Packets tab (4)
SSLKEYLOGFILE=/tmp/sslkeylog.txt curl https://example.com  # 2. any client that exports its keys
#                                                            3. filter the Packets tab with:  decrypted:true

新しい接続先は `✗ drift` の判定とアラートを伴って着地します。ブロックされたものはありません。重要なのは、あなたが *知らされた* ということです。

判定は意図的に二者択一ではありません:

| | |
|---|---|
| `✓ sni` / `✓ ip` | 宣言されたホスト名またはアドレスに一致 — 正確 |
| `~ asn` | AS（自律システム）のみで一致 — そのASが運用する*すべて*を許容するため、ハイパースケーラーでは事実上無制限 |
| `? ech` | 暗号化されたClientHello: 名前が設計上隠されているため、「判断不能」であり「悪い」ではありません |
| `✗ drift` | 許可リスト外 |
| `— no rule` | このプログラムは一度も宣言されていない — チェックは行われなかった |
| `✗ undeclared` | `strict = true` の下ではルールがない — ポリシーは完全であると主張しているため、*不在*自体が検出結果 |

ルールは完全一致のホスト名、`*.wildcards`、自律システム、CIDRブロック（`10.0.0.0/8`）、ポートを受け付けます。`strict = true` は、このリンターを「宣言したソフトウェアが不正な動作をしたら教えて」から「宣言していない何かが通信を始めたら教えて」へと変えるものです。これは実際の侵害が取る形です。

## 得られるもの

`1`〜`9` と `0` で切り替える10個のタブ:

| # | Tab | 説明 |
|---|-----|---------------|
| 1 | **Dashboard** | インターフェース、帯域幅グラフ、上位接続、ゲートウェイ/DNSヘルス、レイテンシーヒートマップ。5秒で役立ちます。 |
| 2 | **Connections** | すべてのソケットを、プロセス + PID、プロトコル、状態、GeoIP、レイテンシーのスパークラインとともに表示。 |
| 3 | **Interfaces** | インターフェースごとのIPv4/IPv6、MAC、MTU、RX/TX、エラー、ドロップ。 |
| 4 | **Packets** | 実際のL7デコード、TLS 1.3復号、JA4、フローごとのストリーム追跡、フィルター、PCAPエクスポートを備えたライブキャプチャ。 |
| 5 | **Stats** | プロトコル別バイト数 + TCPハンドシェイクタイミングのヒストグラム。 |
| 6 | **Topology** | マシン → ゲートウェイ → DNS → 上位ホストのASCIIマップ（traceroute付き）。 |
| 7 | **Timeline** | TCP状態で色分けされた接続タイムライン。セキュリティアラートはここに表示されます。 |
| 8 | **Processes** | プロセスごとの帯域幅ランキングを、ライブRX/TXと接続数とともに。 |
| 9 | **Insights** | *(オプトイン)* スナップショットをローカル/クラウドLLMに送り、平易な言葉での分析を行います。 |
| 0 | **Egress** | 各プロセスが通信する相手（ホスト名/AS/ポート）を学習し、そのベースラインをワンキーでポリシーに昇格させ、その後ドリフトを警告します。監視のみで、ブロックはしません。 |

Packetsタブはフォレンジックの中核です。深いプロトコルデコード、ライブTLS 1.3復号、JA4脅威ハンティング、Wiresharkスタイルの表示フィルター、インシデントキャプチャを備えています。**[完全な機能リファレンスはこちら →](https://github.com/matthart1983/netwatch/blob/HEAD/docs/REFERENCE.md)**

### ライトビュー

10個のタブは、オペレーター向けの計器です。「*ネットワークを使っているのは何か、そして接続は大丈夫か？*」という質問だけがしたい場合 — 1台のマシン、PiへのSSHセッション、tmuxの分割 — には `--lite` があります:```bash
netwatch --lite     # one screen, fits 80×24

これがこのREADMEの冒頭にある画面です。特徴的な要素は**ミラーリングされた二重グラフ**です。ダウンロードは中央の時間軸から上に伸び、アップロードは同じ軸から下に伸びます。トラフィックの対称性は、数値を読まなくても認識できる形になります。ダウンロードバーストは線の上の崖、バックアップジョブは線の下の崖です。両方の半分は1文字セルあたり2サンプルの点字で描画され、各セルはどの系列に属するかではなく、**グラフ内の高さ**によって色付けされるため、軸と照らし合わせる前にスパイクの深刻度がわかります。

スループットの色はクール→ブライトに変化します。高い帯域幅は*悪い*ことではなく*忙しい*ことだからです。バックアップ中の飽和リンクは正常に動作しています。高さが本当に悪いことを意味する境界値（リンク飽和、ホップごとのレイテンシ予算）だけが緑→黄→赤の処理を受け、そのメーターはバー上の位置に応じて色分けされるため、到達する前に赤いゾーンが見えます。

グラフの下には、60秒スパークライン付きのインターフェース別レート、4ホップのレイテンシ予算（ゲートウェイ、DNS、インターネット、そして実際に通信している最も遅いピア）、そして選択した行の詳細が同じボックスの上部に引き上げられて表示される接続テーブルがあります。新しい画面も戻るボタンもありません。詳細行にはカーネルTCP状態 — `cwnd`、`ssthresh`、`mss`、`rwnd` — が含まれ、カーネルから直接読み取られます。Linuxではnetlink上の`inet_diag`、macOSでは`net.inet.tcp.pcblist64` sysctlです。2つのカーネルは単位について見解が異なり（Linuxはセグメントを数え、BSDはバイトを数える）、macOSの値はMSSに対して正規化されるため、この列は両方で同じ意味になります。Windowsは`GetPerTcpConnectionEStats`が実装されるまで`--`を表示します。

`V`は`full → lite → dense`を循環します。または**Settings → View**で一度設定しておくこともできます。130×44未満では、Liteが対象とする同じ80×24グリッドにフォールバックします（これもその領域を埋めます）。横方向にスクロールすることはありません。

## 詳細ガイド

| ガイド | 内容 |
|-------|--------------|
| **[機能リファレンス](https://github.com/matthart1983/netwatch/blob/HEAD/docs/REFERENCE.md)** | すべてのキーバインディング、表示フィルタ言語、プロトコルデコーダ一覧、テーマ、設定オプション。 |
| **[TLS 1.3の復号](https://github.com/matthart1983/netwatch/blob/HEAD/docs/REFERENCE.md#tls-13-decryption)** | `SSLKEYLOGFILE`による復号の仕組み、対応する暗号スイート、読み取れるものと読み取れないもの。 |
| **[JA4による脅威ハンティング](https://github.com/matthart1983/netwatch/blob/HEAD/docs/REFERENCE.md#threat-hunting-with-ja4)** | クライアントのフィンガープリンティングとフロー間のピボット。 |
| **[セキュリティとLandlockサンドボックス](https://github.com/matthart1983/netwatch/blob/HEAD/docs/REFERENCE.md#security--forensics)** | 脅威モデル、ケーパビリティの破棄、ファイルシステムの許可リスト。 |
| **[エグレスポリシーのリンティング](https://github.com/matthart1983/netwatch/blob/HEAD/docs/egress-linter-plan.md)** | observe → promote → warnモデル、ルール言語、`strict`モード、NDJSONエクスポートスキーマ。 |
| **[フライトレコーダー](https://github.com/matthart1983/netwatch/blob/HEAD/docs/REFERENCE.md#flight-recorder)** | アーミング、フリーズ、インシデントバンドルの内容。 |
| **[AIインサイト](https://github.com/matthart1983/netwatch/blob/HEAD/docs/INSIGHTS.md)** | オプションのローカル/クラウドLLM分析（デフォルトではオフ）。 |

## 仕組み```
Raw bytes → Ethernet → IPv4/IPv6/ARP → TCP/UDP/ICMP → L7 decoders
                                            ↓
                          Per-flow stream tracking · Handshake timing
                          TLS 1.3 decryption · JA4 · Threat detection