rustnet — ターミナル向けの、ディープパケットインスペクションを備えたプロセス単位のネットワーク監視。クロスプラットフォーム、サンドボックス化。 | Kitploit

プロセス単位の関連付け: すべての TCP・UDP・QUIC 接続を、所有プロセスにマッピングします。Linux では eBPF、macOS では PKTAP、Windows では自動 IP Helper フォールバック付きの ETW、FreeBSD ではネイティブ API を使用します。詳細には PID、実行ファイル、ユーザー/グループ名、一致信頼度、そして全プラットフォームで上限付きの親プロセスチェーンが含まれます。Wireshark や tcpdump ではこれはできず、netstat / ss ではライブ状態を表示できません。
ディープパケットインスペクション: 外部のディセクタなしで、HTTP、SNI 付き HTTPS/TLS、DNS、SSH、FTP、QUIC、MQTT、BitTorrent、STUN、NTP、mDNS、LLMNR、DHCP、SNMP、SSDP、NetBIOS を識別します。
注釈付き PCAPNG エクスポート: --pcapng-export は、プロセス・PID・方向・DPI/SNI・GeoIP をパケットごとのコメントとして埋め込んだ Wireshark 対応キャプチャを書き出します。Wireshark で開くと、後処理なしですべてのパケットに所有プロセス名が表示されます。オフライン相関用の JSONL サイドカー付きの従来の --pcap-export も利用できます。
セキュリティサンドボックス: Landlock (Linux 5.13+)、Seatbelt (macOS)、トークン特権の破棄 + ジョブオブジェクトによる子プロセスブロック (Windows)。libpcap の初期化後すぐに権限を破棄します。SECURITY.md を参照してください。
ネットワーク分析: TCP・QUIC ハンドシェイク・DNS レスポンス・ICMP エコーのリアルタイム往復時間に加え、TCP 再送信、順序外れ、高速再送信の検出。
スマートな接続ライフサイクル: プロトコル対応のタイムアウトと、白 → 黄 → 赤の鮮度インジケータ。t で過去の (クローズ済み) 接続をフォレンジック用に表示し続けることができます。
Vim/fzf スタイルのフィルタリング: port:、src:、dst:、sni:、process:、state:、proto: に加え、/(?i)pattern/ による正規表現。
GeoIP エンリッチメント: ローカルの MaxMind GeoLite2 による国別ルックアップ。ネットワーク呼び出しはありません。
LAN デバイス識別: リンク上のピアとゲートウェイについて、MAC アドレスとベンダー (内蔵 IEEE OUI データベース由来) を ARP トラフィックからパッシブに学習し、詳細ペインに表示します。
Kubernetes 属性付与 (オプションの kubernetes 機能): 接続をポッド・ネームスペース・コンテナにマッピングし、詳細ペイン、JSON/PCAPNG エクスポート、pod:・ns:・container: フィルタで表示します。公式 Docker イメージでは有効です。クラスタ上では kubectl-rustnet プラグインを使用して、一時的なデバッグポッドとして実行できます。USAGE.md を参照してください。
クロスプラットフォーム: Linux、macOS、Windows、FreeBSD。

eBPF による拡張プロセス識別 (Linux デフォルト)

RustNet は Linux 上ではデフォルトでカーネル eBPF プログラムを使用し、パフォーマンスを向上させ、低オーバーヘッドでプロセス識別を行います。

プロセス名:

eBPF は、動作中のスレッド名ではなく、プロセスグループリーダーの TGID と comm 名 (16 文字に制限されたカーネルフィールド) を記録するため、マルチスレッドアプリケーションでは「Socket Thread」のようなスレッド名ではなく、メインプロセス名が表示されます。
その後 RustNet は /proc/<tgid>/comm を介して現在の名前を再解決し、実行ファイルのファイル名から comm で切り詰められた名前を復元し (例: "chromium-browse" は "chromium-browser" になります)、詳細ビューに表示される実行ファイルのフルパスを解決します。
このエンリッチメントが実行される前に終了した短命なプロセスは、eBPF が記録した 16 文字の名前を維持します。

フォールバック動作:

eBPF のロードに失敗した場合、または十分な権限がない場合、RustNet は自動的に標準の procfs ベースのプロセス識別にフォールバックします。
標準モードは procfs スキャンを介して同じ方法で名前を解決しますが、CPU オーバーヘッドが高くなります。
eBPF はデフォルトで有効です。特別なビルドフラグは不要です。

eBPF を無効にして procfs のみのモードを使用するには、次のようにビルドします:

cargo build --release --no-default-features

技術情報については ARCHITECTURE.md を参照してください。

rustnet -i eth0              # Specify network interface
rustnet --show-localhost     # Show localhost connections
rustnet --no-resolve-dns     # Disable reverse DNS lookups (enabled by default)
rustnet -r 500               # Set refresh interval (ms)
rustnet --theme tokyo-night  # Theme: muted (default), vivid, catppuccin-mocha, tokyo-night, gruvbox, nord
rustnet --pcapng-export capture.pcapng  # Annotated PCAPNG for Wireshark

Key	Action
`q`	終了 (2 回押して確認)
`Ctrl+C`	即終了
`x`	全接続をクリア (2 回押して確認)
`Tab` or `]`	次のタブ
`Shift+Tab` or `[`	前のタブ
`1`–`5`	概要 / 詳細 / アクティビティ / グラフ / ヘルプへ移動
`↑/k` `↓/j`	上下に移動
`g` `G`	最初/最後の接続へ移動
`Enter`	接続の詳細を表示
`Esc`	戻る、またはフィルターをクリア
`c`	リモートアドレスをコピー
`p`	サービス名/ポートを切り替え
`d`	概要でホスト名/IP、アクティビティで Egress/Ingress を切り替え
`s` `S`	ソート列を切り替え / 方向を切り替え
`a`	プロセスグループ化を切り替え
`Space`	プロセスグループを展開/折りたたみ
`←/→` or `h/l`	グループを折りたたみ/展開
`PageUp/PageDown` or `Ctrl+B/F`	ページ移動
`t`	履歴 (クローズ済み) 接続を切り替え
`i`	概要でシステム情報、アクティビティでインターフェース詳細を切り替え
`r`	ビューをリセット (グループ化、ソート、フィルター)
`/`	フィルターモードに入る
`h`	ヘルプを切り替え

/google                        # Search for "google" anywhere
/port:443                      # Filter by port
/process:firefox               # Filter by process
/state:established             # Filter by connection state
/dport:443 sni:github.com      # Combine filters

概要ライブ統計とスパークラインを備えた接続テーブル	詳細接続ごとの SNI、暗号、GeoIP、DPI
グラフトラフィックチャート、アプリ分布、トッププロセス	アクティビティプロセスの Egress/Ingress、60 秒カバレッジ、属性、リモートピア

rustnet

人気

機能

RustNet を選ぶ理由

スクリーンショット

クイックスタート

インストール

RustNet の実行

キーボード操作

フィルタリングとソート

ドキュメント

コントリビューション

ライセンス

謝辞

ドキュメントの移設