wstrace

Rust 製の高性能・ドライバ不要な Windows システムおよび API モニター。

Windows 向けのモダンな strace およびリアルタイム Process Monitor。ネイティブ Rust で構築され、カーネルドライバを一切必要とせず、リアルタイムのターミナルユーザーインターフェース (TUI) とヘッドレス診断向けの非バッファストリーミングを備えています。

---

アーキテクチャに関する FAQ

なぜカーネルドライバが不要なのか?

サードパーティ製のカーネルドライバ (.sys) はシステムクラッシュ (BSOD) のリスクがあり、攻撃対象領域を広げ、エンタープライズ環境では禁止されているドライバ署名の例外を必要とします。wstrace は、非侵襲的な Win32 デバッグ API とネイティブ Windows ETW インターフェースを使用して、100% ユーザーランドで動作します。

なぜ管理者権限への昇格が不要なのか?

標準ユーザーアカウントでも、wstrace run <binary> を介して任意のターゲットを実行およびトレースできます。生成された子プロセスは、UAC プロンプトなしでデバッグハンドル (PROCESS_ALL_ACCESS) を直接継承します。モジュール、スレッド、ソケット、および I/O のテレメトリは、完全に非特権の Win32 API に依存しています。

昇格が存在する場合、なぜそれが利点となるのか?

昇格はアクセラレータであり、ゲートではありません:

• 標準ユーザー (デフォルト): run、attach (ユーザーセッション)、子プロセス (-C)、インタラクティブ TUI、およびストリーミングの完全なトレース。
• 管理者: システム全体のカーネル ETW およびクロスセッション検査 (wstrace all) を解放し、バックグラウンドの OS サービスやシステムデーモンを監視します。

---

インストール

1. PowerShell ワンライナー (クローン不要)

PowerShell で実行すると、最新リリースが $HOME\.local\bin に自動的にインストールされ、ユーザーの PATH に追加されます:

irm https://raw.githubusercontent.com/gilnett/wstrace/main/packaging/install.ps1 | iex

2. Scoop パッケージマネージャー

個人用バケット経由でインストールします:

scoop bucket add gilnett https://github.com/gilnett/scoop-bucket
scoop install wstrace

URL から直接インストールする場合:

scoop install https://raw.githubusercontent.com/gilnett/wstrace/main/packaging/scoop/wstrace.json

3. スタンドアロンバイナリ (GitHub Releases)

GitHub Releases からプリコンパイル済みのスタンドアロンバイナリをダウンロードしてください。

4. Cargo (ソースから)

GitHub から直接インストールします:

cargo install --git https://github.com/gilnett/wstrace.git

または、クローンしたリポジトリからローカルでビルドします:

cargo build --release

生成されたバイナリは target\release\wstrace.exe にあります。

4. パッケージマネージャー (Winget & Scoop)

[!NOTE] Winget と Scoop のマニフェストは、公開された GitHub Releases と自動的に同期されます。

Windows Package Manager (Winget)

[!NOTE] 公式パッケージの申請は現在、microsoft/winget-pkgs でレビューと検証が行われています。コミュニティのモデレーターによって承認・マージされると、以下から直接インストールできるようになります:

winget install gilnett.wstrace

Scoop

scoop install .\packaging\scoop\wstrace.json

クイックスタートと使い方

1. 確認

現在のシェルで wstrace にアクセスできることを確認します:

wstrace --version

2. アプリケーションをトレースする（インタラクティブTUI）

リアルタイムのWin32およびシステムテレメトリを使用して、対象の実行ファイルを起動します:

wstrace run <executable_path> [-- <arguments>...]

TUI キーボード操作

キー	アクション	説明
Ctrl+C	選択項目をコピー	ハイライトされたイベントの詳細を Windows クリップボードにコピーします。
Ctrl+A	すべてコピー	現在フィルタリングされているすべてのイベントを Windows クリップボードにコピーします。
Ctrl+E / Space	一時停止 / 再開	受信中のテレメトリを破棄せずにイベントビューを凍結します。
Ctrl+X	バッファをクリア	表示バッファから現在のイベントリストを空にします。
Tab	カテゴリ切り替え	イベントをフィルタリングします: ALL -> FILE -> REG -> NET -> PROC。
f	失敗のみ	失敗した操作（例: アクセス拒否、見つからない）のみに表示を制限します。
Up / Down	ナビゲーション	詳細な検査のためにイベントを選択します。
q / Esc	終了	トレースセッションを正常に終了します。

3. システム全体のアクティビティをすべてトレース

アクティブなプロセス、新規生成、終了、およびロードされたモジュールをシステム全体でリアルタイムに監視します:

wstrace all

4. 実行中のプロセスにアタッチする

再起動せずに、PID またはバイナリ名で既存のプロセスにアタッチします:

# Attach by PID
wstrace attach -p <PID>

# Attach by process name
wstrace attach -n <process_name.exe>

5. ヘッドレスストリームモード（CI/CD とログ記録）

ANSI カラーコード付きでライブイベントを直接 stdout に書き込みます:

wstrace -m stream [-d <seconds>] run <executable_path>

包括的なマニュアルと高度なオプション: 高度なパスフィルタリング(--include / --exclude)、子プロセストラッキング(-C)、JSONレポート(--export-json)、クリップボードへのエクスポート(--copy)、スクリプトオプションについては、CLIリファレンスマニュアル を参照するか、wstrace --help を実行してください。

---

アーキテクチャと互換性

• コアエンジン: Rust(2021 Edition)
• インストーラーとデプロイ: PowerShell(packaging/install.ps1)
• ターミナルUI: Ratatui + Crossterm
• テレメトリの取り込み: Win32 API(ToolHelp32Snapshot、OpenProcess、VirtualQueryEx)およびWindowsイベントトレーシング(ETW)。
• 対象アーキテクチャ:
  • x86_64-pc-windows-msvc(Intel / AMD 64ビット)
  • aarch64-pc-windows-msvc(Qualcomm Snapdragon X / Windows on ARM)

---

エンタープライズコンプライアンスと組織ガバナンス

wstrace は、高セキュリティのエンタープライズ環境(銀行、防衛、医療、重要インフラ)への導入に向けた厳格な組織要件を満たすよう設計されています:

1. クラウドへのデータ漏洩ゼロ(エアギャップおよびデータ主権)

wstrace は100%オフラインかつスタンドアロンです。リモートサーバーを一切保持せず、テレメトリや分析を一切開始せず、外向きのネットワーク呼び出しを一切行いません。ライブトレース中に観測された機密データ(APIトークン、ファイルパス、認証情報、メモリ内容)は厳密にローカルRAM内に留まり、ワークステーションから外部へ出ることはありません。

2. カーネルドライバーゼロ(Ring-0フットプリントゼロ)

サードパーティ製の .sys カーネルドライバーをインストールする従来のトレースユーティリティとは異なり—システムクラッシュ(ブルースクリーン / BSOD)のリスクやring-0バックドアの攻撃対象領域を生み出すことなく—wstrace はカーネルドライバーを一切使用せずに動作します。非侵襲的なユーザーランドのWin32デバッグと、ネイティブのWindowsカーネルETWコンシューマーインターフェースのみに依存しています。

3. 厳格なローカルアクセス制御とセッション分離

トレーステレメトリは、Windowsユーザーセッションおよび強制整合性制御(MIC)の境界によって厳密に制限されます。非特権ユーザーセッションは、明示的な管理者権限への昇格なしに、より高い整合性レベルのプロセスへアクセスしたり検査したりすることはできず、最小権限の原則を厳格に遵守します。

4. 規制および標準への準拠

• SOC 2 Type II および ISO/IEC 27001 への準拠: 完全なデータ主権、外部へのデータ送信ゼロ、監査可能なビルド来歴。
• GDPR(RGPD)およびCCPA準拠: プライバシー・バイ・デザイン アーキテクチャ。個人データの収集、プロファイリング、追跡、商業化は一切行いません。
• EUサイバーレジリエンス法(CRA)への対応準備: 文書化されたセキュリティ開示ポリシー(SECURITY.md)、Dependabotによる自動CVE依存関係スキャン、サードパーティライセンス監査インベントリ(THIRD_PARTY_LICENSES.md)。
• OWASPルール #1 への準拠: コードベースおよびバージョン管理履歴全体にわたり、ハードコードされたシークレット、認証情報、プライベートAPIキーは一切ありません。

---

ライセンスと知的財産ガバナンス

• ソフトウェアライセンス: GNU General Public License v3.0(GPL-3.0-or-later)の下でライセンスされています。
• コントリビューターライセンス契約(CLA): すべての外部からのコントリビューションは CONTRIBUTING.md に定められた条件に従い、統一された著作権所有権を確保し、企業買収(M&A)および商用デュアルライセンスの権利を保護します。

---

謝辞とサードパーティクレジット

wstrace はRustオープンソースエコシステムの上に構築されることを誇りに思い、以下の基盤ライブラリに感謝します:

• Ratatui(MIT)— モダンなターミナルユーザーインターフェース(TUI)のレイアウトおよびレンダリングエンジン。
• Crossterm(MIT)— クロスプラットフォームのターミナル操作および生入力制御。
• windows-sys(MIT / Apache-2.0)— 公式のMicrosoft Win32およびカーネルETW APIバインディング。

完全なライセンス通知と条件については、THIRD_PARTY_LICENSES.md を参照してください。

---

サポートとスポンサーシップ

wstrace が Windows エンジニアリング、セキュリティ監査、パフォーマンスデバッグに役立つと感じたら、GitHub Sponsors または Ko-fi を通じて開発を支援できます:

• GitHub Sponsors: https://github.com/sponsors/gilnett
• Ko-fi: https://ko-fi.com/gilnet