또는 [Releases](https://github.com/matthart1983/netwatch/releases/latest)에서 미리 빌드된 바이너리를 받으세요.

**Windows에는 [Npcap](https://npcap.com/#download) 설치가 필요합니다** — 설치 프로그램의 기본 설정으로 충분하며, 설치하지 않으면 NetWatch가 시작 시 이를 알리고 종료됩니다. **소스에서 빌드**하는 경우(`cargo install`, `paru -S netwatch-tui`) libpcap 개발 헤더가 필요합니다: Debian/Ubuntu와 Alpine에서는 `libpcap-dev`, Fedora/RHEL에서는 `libpcap-devel`, Arch에서는 `libpcap`입니다. 헤더가 없으면 링크 시 `cannot find -lpcap` 오류가 표시됩니다. macOS에는 libpcap이 포함되어 있으며, 아래의 `-static` Linux 바이너리는 libpcap을 번들로 포함하므로 별도 설치가 필요 없습니다.

Nix, Arch 및 Scoop 패키지는 커뮤니티 패키저가 유지 관리합니다 — 감사합니다. 패키징 문제는 해당 패키저에게 보고하고, netwatch 버그는 여기에 보고하세요. 패키지가 릴리스보다 늦어지면 [Repology 페이지](https://repology.org/project/netwatch-tui/versions)에서 확인할 수 있습니다.

<details>
<summary><strong>모든 플랫폼 및 소스 빌드</strong></summary>

| 플랫폼 | 다운로드 |
|----------|----------|
| Linux (x86_64, Debian/Ubuntu) | [`netwatch-linux-x86_64.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| Linux (aarch64, Debian/Ubuntu) | [`netwatch-linux-aarch64.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| Linux (x86_64, 정적 — Arch/Fedora/Alpine/모든 배포판) | [`netwatch-linux-x86_64-static.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| Linux (aarch64, 정적 — Arch/Fedora/Alpine/모든 배포판) | [`netwatch-linux-aarch64-static.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| macOS (Intel) | [`netwatch-macos-x86_64.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| macOS (Apple Silicon) | [`netwatch-macos-aarch64.tar.gz`](https://github.com/matthart1983/netwatch/releases/latest) |
| Windows (x86_64) | [`netwatch-windows-x86_64.exe.zip`](https://github.com/matthart1983/netwatch/releases/latest) |

`-static` Linux 빌드는 libpcap을 번들로 포함하며 런타임 종속성이 없습니다 — 기본 빌드에서 `libpcap.so.0.8: cannot open shared object file` 오류가 발생하는 Arch, Fedora, Alpine 또는 모든 배포판에서 사용하세요.

Windows 빌드에는 [Npcap](https://npcap.com/#download)이 필요합니다 — 첫 실행 전에 설치하세요. 설치 프로그램의 기본 설정으로 충분합니다: NetWatch는 Npcap이 실제로 `wpcap.dll`을 넣는 `System32\Npcap`을 찾으므로 *WinPcap API 호환 모드로 Npcap 설치*는 필요하지 않습니다. Npcap이 전혀 없으면 Windows 오류 상자 대신 누락된 항목을 알려주는 NetWatch 메시지가 표시됩니다. (v0.29.1 이하에서는 해당 체크박스가 필요했습니다 — [#47](https://github.com/matthart1983/netwatch/issues/47) 참조.)

**소스에서:**```bash
git clone https://github.com/matthart1983/netwatch.git && cd netwatch
cargo build --release

그게 전부입니다. `1`–`9`로 탭을 전환하고, `?`를 누르면 도움말, `q`를 누르면 종료됩니다. 대시보드는 5초 안에 유용하게 사용할 수 있으며, 아래의 모든 내용은 더 깊이 파고들 필요가 있을 때 사용하면 됩니다.

> **`sudo` 없는 Linux:** 캡처 권한을 한 번 부여한 후 일반 사용자로 실행하세요 —
> `sudo setcap 'cap_net_raw,cap_bpf,cap_perfmon+eip' "$(which netwatch)"`. 업그레이드할 때마다 다시 실행하세요 ([자세한 내용](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md#running-without-sudo-linux)).

### 60초 안에 TLS 복호화 확인하기

NetWatch가 무엇인지 이해하는 가장 빠른 방법 — *당신이* 제어하는 TLS 1.3 세션의 평문을 읽는 모습을 지켜보는 것입니다:```bash
sudo netwatch                                              # 1. launch, then open the Packets tab (4)
SSLKEYLOGFILE=/tmp/sslkeylog.txt curl https://example.com  # 2. any client that exports its keys
#                                                            3. filter the Packets tab with:  decrypted:true

새 목적지가 `✗ drift` 판정과 함께 알림을 띄운다. 차단된 것은 아무것도 없다 — 핵심은 당신이 *통보를 받았다*는 것이다.

판정은 의도적으로 이분법적이지 않다:

| | |
|---|---|
| `✓ sni` / `✓ ip` | 선언된 호스트명 또는 주소와 일치 — 정밀함 |
| `~ asn` | 자율 시스템(AS)으로만 일치 — 이는 *해당 AS가 운영하는 모든 것*을 인정한다는 뜻이며, 하이퍼스케일러의 경우 사실상 무제한이다 |
| `? ech` | Encrypted ClientHello: 이름이 설계상 숨겨져 있으므로 "판단 불가"이지 "나쁨"이 아니다 |
| `✗ drift` | 허용 목록 밖 |
| `— no rule` | 이 프로그램은 선언된 적이 없음 — 검사된 것이 없음 |
| `✗ undeclared` | 규칙 없음, `strict = true` 상태 — 정책이 완전하다고 주장하므로 *부재* 자체가 발견 사항이다 |

규칙은 정확한 호스트명, `*.와일드카드`, 자율 시스템, CIDR 블록(`10.0.0.0/8`), 포트를 허용한다. `strict = true`는 린터를 "선언된 소프트웨어가 잘못 행동할 때 알려줘"에서 "선언한 적 없는 무언가가 말을 걸기 시작할 때 알려줘"로 바꾸는 스위치다 — 이것이 실제 침해가 일어나는 형태다.

## 제공되는 것

`1`–`9`와 `0`으로 전환하는 10개의 탭:

| # | 탭 | 표시 내용 |
|---|-----|---------------|
| 1 | **대시보드** | 인터페이스, 대역폭 그래프, 상위 연결, 게이트웨이/DNS 상태, 지연 시간 히트맵. 5초 안에 유용하다. |
| 2 | **연결** | 프로세스 + PID, 프로토콜, 상태, GeoIP, 지연 시간 스파크라인이 포함된 모든 소켓. |
| 3 | **인터페이스** | 인터페이스별 IPv4/IPv6, MAC, MTU, RX/TX, 오류, 드롭. |
| 4 | **패킷** | 실제 L7 디코딩, TLS 1.3 복호화, JA4, 흐름별 스트림 추적, 필터, PCAP 내보내기가 포함된 실시간 캡처. |
| 5 | **통계** | 바이트 기준 프로토콜 분석 + TCP 핸드셰이크 타이밍 히스토그램. |
| 6 | **토폴로지** | 머신 → 게이트웨이 → DNS → 상위 호스트의 ASCII 맵, traceroute 포함. |
| 7 | **타임라인** | TCP 상태별 색상 구분 연결 타임라인; 보안 알림이 여기에 표시된다. |
| 8 | **프로세스** | 실시간 RX/TX 및 연결 수가 포함된 프로세스별 대역폭 순위. |
| 9 | **인사이트** | *(선택 사항)* 스냅샷을 로컬/클라우드 LLM에 보내 평이한 언어로 분석한다. |
| 0 | **이그레스** | 각 프로세스가 통신하는 대상(호스트명/AS/포트)을 학습하고, 한 번의 키 입력으로 해당 기준선을 정책으로 승격한 뒤 드리프트 시 경고한다. 관찰 전용이며 차단하지 않는다. |

패킷 탭은 포렌식이 살아 있는 곳이다 — 심층 프로토콜 디코딩, 실시간 TLS 1.3 복호화, JA4 위협 헌팅, Wireshark 스타일 표시 필터, 사고 캡처. **[전체 기능 참조 보기 →](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md)**

### 라이트 뷰

10개의 탭은 운영자를 위한 도구다. 질문이 단지 *"내 네트워크를 뭐가 쓰고 있고, 내 연결은 괜찮은가?"*일 때 — 단일 머신, Pi에 대한 SSH 세션, tmux 분할 — `--lite`가 있다:```bash
netwatch --lite     # one screen, fits 80×24

That's the screen at the top of this README. The signature element is the **mirrored dual graph**: download grows up from a centre time axis, upload grows down from the same axis. Traffic symmetry becomes a shape you recognise without reading a number — a download burst is a cliff above the line, a backup job is a cliff below it. Both halves are braille at two samples per character cell, and every cell is coloured by its **height in the graph** rather than by which series it belongs to, so you see a spike's severity before you measure it against the axis.

Throughput ramps cool→bright because high bandwidth is *busy*, not *bad* — a saturated link during a backup is working. Only bounded values where high genuinely is bad — link saturation, latency budget per hop — get the green→amber→red treatment, and their meters colour by position along the bar, so the red zone is visible before you reach it.

Below the graph: per-interface rates with 60-second sparklines, four-hop latency budgets (gateway, DNS, internet, and the slowest peer you're actually talking to), and the connection table with the selected row's detail hoisted into the top of the same box — no new screen, no back button. The detail row carries kernel TCP state — `cwnd`, `ssthresh`, `mss`, `rwnd` — read straight from the kernel: `inet_diag` over netlink on Linux, the `net.inet.tcp.pcblist64` sysctl on macOS. The two kernels disagree about units (Linux counts segments, BSD counts bytes), so macOS values are normalised against the MSS and the column means the same thing on both. Windows reads `--` until `GetPerTcpConnectionEStats` is wired up.

`V` cycles `full → lite → dense`, or set it once under **Settings → View**. Below 130×44 it falls back to the same 80×24 grid Lite targets — which fills its area too — and it never scrolls sideways.

## Deeper dives

| Guide | What's in it |
|-------|--------------|
| **[Feature reference](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md)** | Every keybinding, the display-filter language, protocol decoder list, themes, and config options. |
| **[TLS 1.3 decryption](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md#tls-13-decryption)** | How `SSLKEYLOGFILE` decryption works, supported cipher suites, and what it can and can't read. |
| **[Threat hunting with JA4](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md#threat-hunting-with-ja4)** | Fingerprinting clients and pivoting across flows. |
| **[Security & the Landlock sandbox](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md#security--forensics)** | The threat model, capability dropping, and the filesystem allow-list. |
| **[Egress policy linting](https://github.com/matthart1983/netwatch/blob/main/docs/egress-linter-plan.md)** | The observe → promote → warn model, the rule language, `strict` mode, and the NDJSON export schema. |
| **[Flight Recorder](https://github.com/matthart1983/netwatch/blob/main/docs/REFERENCE.md#flight-recorder)** | Arming, freezing, and the contents of an incident bundle. |
| **[AI Insights](https://github.com/matthart1983/netwatch/blob/main/docs/INSIGHTS.md)** | Optional local/cloud LLM analysis (off by default). |

## How it works```
Raw bytes → Ethernet → IPv4/IPv6/ARP → TCP/UDP/ICMP → L7 decoders
                                            ↓
                          Per-flow stream tracking · Handshake timing
                          TLS 1.3 decryption · JA4 · Threat detection