rustnet — 터미널에서 프로세스별 네트워크 모니터링과 심층 패킷 검사(DPI)를 제공합니다. 크로스 플랫폼이며 샌드박스 환경에서 실행됩니다. | Kitploit

프로세스별 귀속: 모든 TCP, UDP, QUIC 연결을 소유 프로세스에 매핑합니다. Linux에서는 eBPF, macOS에서는 PKTAP, Windows에서는 자동 IP Helper 폴백이 포함된 ETW, FreeBSD에서는 네이티브 API를 사용합니다. 세부 정보에는 PID, 실행 파일, 사용자/그룹 이름, 일치 신뢰도, 모든 플랫폼에서 제한된 상위 프로세스 체인이 포함됩니다. Wireshark와 tcpdump는 이 작업을 수행할 수 없으며, netstat / ss는 실시간 상태를 표시할 수 없습니다.
딥 패킷 검사: 외부 디섹터 없이 HTTP, SNI가 포함된 HTTPS/TLS, DNS, SSH, FTP, QUIC, MQTT, BitTorrent, STUN, NTP, mDNS, LLMNR, DHCP, SNMP, SSDP, NetBIOS를 식별합니다.
주석이 포함된 PCAPNG 내보내기: --pcapng-export는 프로세스, PID, 방향, DPI/SNI, GeoIP를 패킷별 주석으로 포함한 Wireshark 호환 캡처를 작성합니다. Wireshark에서 열면 사후 처리 없이 모든 패킷에 소유 프로세스가 이미 표시됩니다. 오프라인 상관 분석을 위한 JSONL 사이드카가 포함된 기존 --pcap-export도 사용할 수 있습니다.
보안 샌드박싱: Landlock(Linux 5.13+), Seatbelt(macOS), 토큰 권한 강등 + 작업 개체 자식 프로세스 차단(Windows). libpcap이 초기화된 직후 권한을 강등합니다. SECURITY.md를 참조하세요.
네트워크 분석: TCP, QUIC 핸드셰이크, DNS 응답, ICMP 에코의 실시간 왕복 시간(RTT)과 TCP 재전송, 순서 어긋남, 빠른 재전송 감지를 제공합니다.
스마트 연결 수명 주기: 흰색 → 노란색 → 빨간색 오래됨 표시기가 있는 프로토콜 인식 타임아웃. t를 눌러 포렌식 분석을 위해 과거(닫힌) 연결을 계속 표시할 수 있습니다.
Vim/fzf 스타일 필터링: port:, src:, dst:, sni:, process:, state:, proto: 및 /(?i)pattern/ 정규식을 지원합니다.
GeoIP 보강: 로컬 MaxMind GeoLite2를 통한 국가 조회. 네트워크 호출 없음.
LAN 장치 식별: 링크상의 피어와 게이트웨이에 대한 MAC 주소와 벤더(내장 IEEE OUI 데이터베이스에서 가져옴). ARP 트래픽에서 수동적으로 학습하여 세부 정보 창에 표시합니다.
Kubernetes 귀속(선택적 kubernetes 기능): 연결을 해당 파드, 네임스페이스, 컨테이너에 매핑하여 세부 정보 창, JSON/PCAPNG 내보내기, pod:, ns:, container: 필터에 표시합니다. 공식 Docker 이미지에서 활성화되어 있으며, 클러스터에서는 kubectl-rustnet 플러그인을 사용해 임시 디버그 파드로 실행할 수 있습니다. USAGE.md를 참조하세요.
크로스 플랫폼: Linux, macOS, Windows, FreeBSD.

eBPF 강화 프로세스 식별(Linux 기본값)

RustNet은 Linux에서 기본적으로 커널 eBPF 프로그램을 사용하여 향상된 성능과 낮은 오버헤드의 프로세스 식별을 제공합니다.

프로세스 이름:

eBPF는 실행 중인 스레드 이름 대신 프로세스 그룹 리더의 TGID와 comm 이름(16자로 제한된 커널 필드)을 기록하므로 다중 스레드 애플리케이션은 "Socket Thread" 같은 스레드 이름 대신 메인 프로세스 이름을 표시합니다
그런 다음 RustNet은 /proc/<tgid>/comm을 통해 현재 이름을 다시 확인하고, 실행 파일 이름에서 comm으로 잘린 이름을 복구하며(예: "chromium-browse"가 "chromium-browser"가 됨), 세부 정보 뷰에 표시되는 전체 실행 파일 경로를 확인합니다
이 강화 단계가 실행되기 전에 종료되는 수명이 짧은 프로세스는 eBPF로 기록된 16자 이름을 유지합니다

폴백 동작:

eBPF를 로드하지 못하거나 권한이 충분하지 않으면 RustNet은 자동으로 표준 procfs 기반 프로세스 식별로 폴백합니다
표준 모드는 procfs 스캔을 통해 동일한 방식으로 이름을 확인하지만 CPU 오버헤드가 더 높습니다
eBPF는 기본적으로 활성화되어 있으며 특별한 빌드 플래그가 필요하지 않습니다

eBPF를 비활성화하고 procfs 전용 모드를 사용하려면 다음과 같이 빌드하세요:

cargo build --release --no-default-features

기술 정보는 ARCHITECTURE.md를 참조하세요.

rustnet -i eth0              # Specify network interface
rustnet --show-localhost     # Show localhost connections
rustnet --no-resolve-dns     # Disable reverse DNS lookups (enabled by default)
rustnet -r 500               # Set refresh interval (ms)
rustnet --theme tokyo-night  # Theme: muted (default), vivid, catppuccin-mocha, tokyo-night, gruvbox, nord
rustnet --pcapng-export capture.pcapng  # Annotated PCAPNG for Wireshark

키	동작
`q`	종료(두 번 누르면 확인)
`Ctrl+C`	즉시 종료
`x`	모든 연결 지우기(두 번 누르면 확인)
`Tab` 또는 `]`	다음 탭
`Shift+Tab` 또는 `[`	이전 탭
`1`–`5`	개요 / 세부 정보 / 활동 / 그래프 / 도움말로 이동
`↑/k` `↓/j`	위/아래로 이동
`g` `G`	첫 번째/마지막 연결로 이동
`Enter`	연결 세부 정보 보기
`Esc`	뒤로 가기 또는 필터 지우기
`c`	원격 주소 복사
`p`	서비스 이름/포트 전환
`d`	개요에서 호스트 이름/IP 또는 활동에서 Egress/Ingress 전환
`s` `S`	정렬 열 순환 / 방향 전환
`a`	프로세스 그룹화 전환
`Space`	프로세스 그룹 펼치기/접기
`←/→` 또는 `h/l`	그룹 접기/펼치기
`PageUp/PageDown` 또는 `Ctrl+B/F`	페이지 탐색
`t`	과거(닫힌) 연결 표시 전환
`i`	개요에서 시스템 정보 또는 활동에서 인터페이스 세부 정보 전환
`r`	보기 재설정(그룹화, 정렬, 필터)
`/`	필터 모드 진입
`h`	도움말 전환

/google                        # Search for "google" anywhere
/port:443                      # Filter by port
/process:firefox               # Filter by process
/state:established             # Filter by connection state
/dport:443 sni:github.com      # Combine filters

개요 실시간 통계와 스파크라인이 포함된 연결 테이블	세부 정보 연결별 SNI, 암호화, GeoIP, DPI
그래프 트래픽 차트, 앱 분포, 상위 프로세스	활동 프로세스 Egress/Ingress, 60초 커버리지, 귀속 정보, 원격 피어

rustnet

인기

기능

왜 RustNet인가?

스크린샷

빠른 시작

설치

RustNet 실행

키보드 컨트롤

필터링 및 정렬

문서

기여

라이선스

감사의 말

문서 이전