Hodometer 1.3

Um aplicativo de bandeja nativo do Windows em arquivo único (C, Win32, sem runtime) que mostra exatamente qual programa está enviando e recebendo bytes e para qual host, mantém a auditoria de conexões do Windows ativada, permite que você ou um agente de IA encerre um processo ou bloqueie um programa na hora, e transmite tudo por um socket localhost que somente programas que você permitiu explicitamente podem usar.

A 1.2 adiciona o Inspector: aproxime-se de um processo e veja suas conexões (estado, RTT, retransmissões, tempo de conexão), seus pacotes decodificados na rede (TLS SNI/ALPN, QUIC, DNS, HTTP), um perfil do processo (CPU, memória, disco, GPU, usuário, linha de comando, assinante) e uma linha do tempo (conexões, falhas, processos filhos, carregamentos de DLL), com exportação pcapng. Tudo isso vem dos próprios provedores de kernel do Windows e do ndiscap.sys; não há driver para instalar.

A 1.3 torna o socket adequado para muitos agentes ao mesmo tempo (o design Sentinel em SENTINEL.md): os comandos são executados em threads de trabalho, de modo que um inspect lento de um cliente não bloqueia mais os outros; até quatro capturas pcapng são executadas ao mesmo tempo, uma por processo; conns pagina por todos os fluxos e pode filtrar para fluxos ativos ou fluxos tocados desde um timestamp; um watcher pode solicitar apenas handshakes decodificados em vez de cada frame; um evento flowinfo anuncia o SNI, ALPN, requisição HTTP ou versão TLS de cada fluxo no momento em que é decodificado; cada conexão pode observar 64 processos; inspect relata o SHA-256 do arquivo e faz cache das verificações de assinatura.

Demonstração

Assista ou baixe a demonstração de 72 segundos · Legendas em inglês

Imagens reais do Hodometer acompanham um upload controlado por meio de inspeção de processo, captura de pacotes e um bloqueio de firewall verificado. O segmento Sentinel é uma investigação de IA simulada claramente rotulada, com pontuações e comportamento de simulação calculados pelo código do repositório. Detalhes pessoais e processos não relacionados são removidos do vídeo publicado.

O que ele faz

• Tráfego exato por processo. Lê o provedor ETW de rede do kernel em tempo real (a mesma fonte que o Monitor de Recursos utiliza): bytes enviados e recebidos por processo, com nome, caminho completo e o address:port remoto que recebeu mais bytes. O tráfego local e de LAN fica oculto por padrão (botão de alternância, ou local on).
• Nomes de host. Aprendidos ao vivo a partir do provedor ETW do cliente DNS (o nome que cada programa realmente resolveu), com uma consulta DNS PTR simples como alternativa. Exibidos na tabela e em cada evento (host).
• Odômetros e sparkline. Contadores de dígitos rolantes para bytes OUT e IN com taxas ao vivo, e um gráfico de cinco minutos.
• Tabela de processos ordenada pela taxa atual, 24 h de histórico por minuto por processo em memória (history) e anexado a history.jsonl.
• Encerrar ou bloquear. Selecione uma linha: Kill selected process (ou tecla Delete, clique direito), Block program (firewall) adiciona regras de bloqueio de entrada e saída no Windows Firewall para o caminho desse programa; desbloqueie pelo menu de clique direito. O aplicativo recusa-se a encerrar os processos sem os quais o Windows não consegue funcionar e a si próprio.
• Audit keeper. A cada 30 s verifica a subcategoria de auditoria Filtering Platform Connection (o que auditpol /set /subcategory:"Filtering Platform Connection" /success:enable /failure:enable ativa). Se estiver desativada, ele a reativa, registra isso e avisa os agentes conectados. Um botão faz isso imediatamente.
• Eventos de conexão. Com a auditoria ativada, o Windows grava o evento de Segurança 5156 para cada conexão; o aplicativo encaminha cada conexão de saída não local como um evento conn com caminho do programa, destino, nome de host e porta.
• Picos. Upload acima de 0,75 MB/s ou download acima de 1,5 MB/s (configurável) emite um evento spike, uma linha em hodometer.log e uma notificação na bandeja (no máximo uma a cada 5 minutos).
• Bandeja. Clique esquerdo no ícone para mostrar ou ocultar a janela; clique direito para pausar, reparar auditoria, esquecer programas confiáveis, pasta de logs, README, sair. Fechar ou minimizar oculta para a bandeja; Sair está no menu da bandeja.

Inspector (aprofundar em um processo)

Clique duas vezes em uma linha, pressione Inspect selected process, use o menu de clique direito, ou envie inspect <pid> show pelo socket. Até oito janelas do Inspector podem estar abertas; cada uma acompanha um pid.