NetScope

Plataforma de investigação e resposta de rede offline-first para Windows.

O NetScope é uma aplicação de desktop para analistas de segurança, técnicos de resposta a incidentes e jogadores de CTF. Recebe uma captura de pacotes (.pcap / .pcapng) ou uma interface ativa e transforma-a numa investigação completa e apoiada em evidências — veredicto, história do ataque, indicadores de comprometimento, saque extraído e ações de resposta com um clique — inteiramente na sua máquina, sem serviços na nuvem e sem APIs pagas.

Porquê o NetScope?

Consegue obter a maior parte disto manualmente com o Wireshark, o Suricata e alguns scripts — o trabalho do NetScope é fazer essa correlação automaticamente, numa única passagem, sem enviar nada para fora da sua máquina:

• Um veredicto, não quinze separadores. O NetScope correlaciona a análise de protocolos, a correspondência de IOCs e a deteção de anomalias numa única história de ataque, em vez de exigir que cruze manualmente a saída do tshark, os alertas do Suricata e os feeds de IOCs.
• Zero nuvem, zero chaves de API. Sem chave do VirusTotal, sem upload para a nuvem, nada sai da sua máquina — isto é importante quando está a lidar com um incidente em curso ou com a captura de um cliente.
• Grátis, não um "plano gratuito". Sem backend pago, sem limites de utilização, sem licença.
• Resposta, não apenas análise. Regras de firewall, terminação de processos e captura de memória estão incorporadas — a maioria dos analisadores gratuitos para em "foi isto que aconteceu", o NetScope também ajuda a agir sobre isso.

Capturas de ecrã

Remontagem de fluxo com um banner de veredicto em tempo real — uma sessão FTP reconstruída a partir da captura, credenciais em texto claro expostas e enriquecimento com tshark + Suricata aplicado automaticamente por cima:

O separador Loot — credenciais, hashes, chaves e tokens extraídos da captura, cada um com cópia com um clique:

Download

Binários Windows pré-compilados estão anexados a cada versão:

→ Descarregar a versão mais recente

As instruções completas de instalação e execução — incluindo a execução a partir do código-fonte — estão em INSTALL.md.

O NetScope pede direitos de administrador no arranque. A elevação é necessária para as suas ações de resposta (regras de firewall do host, terminação de processos, captura de memória). Verá um aviso UAC do Windows quando for iniciado.

O que faz

O NetScope tem dois pontos de entrada que alimentam o mesmo motor de análise:

• Análise de PCAP offline — abra uma captura e obtenha uma análise forense completa.
• Monitorização em tempo real — captura a partir de uma interface local (via dumpcap) e análise da mesma forma, com vigia de ARP em tempo real e defesa de DNS.

Tudo é executado localmente. O parser e o analisador são TypeScript puro e não requerem ferramentas externas; quando ferramentas gratuitas como tshark, Suricata, Zeek ou yara estão instaladas, o NetScope sobrepõe as suas deteções automaticamente.

Superfície de investigação

• Overview — um veredicto centralizado, métricas-chave, a história do ataque reconstruída, as principais evidências e os próximos passos recomendados.
• Threats and detections — conclusões correlacionadas com gravidade, mapeamento de técnicas MITRE ATT&CK e um motor de assinaturas de cadeia de ataque (explorações de CVE, reverse shells, ferramentas ofensivas).
• Protocol forensics — HTTP (user-agent, Log4j), DNS (análise de transações, reconstrução de túneis e exfiltração com descodificação automática), TLS (impressão digital JA3/JA4 contra uma base de dados offline de famílias de malware), SMB, FTP, SMTP/MIME, DHCP, NBNS, Kerberos, ICMP, ARP.
• Hosts — inventário construído a partir de DHCP / NBNS / Kerberos, com impressão digital de SO.
• Loot — credenciais extraídas, hashes NTLM / NetNTLMv2 (prontos para hashcat), flags, chaves de API e JWTs, com dicas de cracking.
• Anomalies — beaconing, canais de alta entropia, assimetria de tráfego, user-agents raros e criptografia fraca, classificados.
• Temporal analysis — impressão digital de ritmo, costura de sessões entre protocolos, desvio de relógio por timestamps TCP (deteção de NAT / vários hosts) e deriva da impressão digital de SO.
• Intel — indicadores conhecidos como maliciosos a partir de feeds offline gratuitos (abuse.ch, FireHOL, Tor).
• Geo / Exfil — repartição offline por país no GeoIP e um mapa-múndi dos endpoints.
• Protocols pivot — uma árvore hierárquica de protocolos com repartição por portas e serviços.
• Workbench — uma bancada de transformação / descodificação / scripting para artefactos arbitrários, incluindo um desofuscador e um parser de PE.
• Stream reassembly — follow-stream TCP/UDP, carving e extração de ficheiros, remontagem de ZIP e de múltiplas partes.
• Compare — compara uma captura com uma linha de base guardada.

Resposta

• Criação de regras de firewall do host, terminação de processos e captura de memória (elevada).
• Exportação de indicadores em STIX 2.1 / CSV / Sigma.
• Geração de relatórios de incidentes em Markdown e HTML.
• Gestão local de casos: notas, etiquetas, marcadores e estado, persistidos em disco.

Instalar e executar

Consulte INSTALL.md para o guia completo. A versão curta:

Utilize a aplicação: descarregue o instalador ou a compilação portátil da página de Releases e execute-a.

Executar a partir do código-fonte:

npm install
npm run dev

Crie os seus próprios binários Windows:

npm run build:win

Os artefactos são gravados em release/.

Início rápido

1. Abra o NetScope e arraste um ficheiro .pcap / .pcapng, ou selecione uma interface de rede ativa para capturar.
2. O NetScope analisa a captura e mostra um veredicto no separador Overview — gravidade, a história do ataque reconstruída e as principais evidências.
3. Aprofunde em Threats, Protocol forensics ou Loot para obter os detalhes de suporte por trás desse veredicto.

(Uma gravação de ecrã curta deste fluxo será colocada aqui.)

Arquitetura

O NetScope é uma aplicação Electron com uma fronteira de processos estrita.

src/
  main/       Electron main process — analysis engine, services, IPC handlers
    services/pcap/   pure-TS PCAP parser, decoders, analyzers, worker thread
  preload/    context-isolated bridge (window.netscope) — no Node in the renderer
  renderer/   React 19 UI (Vite)
  shared/     IPC contract and data model shared by main and renderer

• O isolamento de contexto está ativo e a integração com Node está desativada no renderer. Todo o trabalho privilegiado acontece no processo principal e é alcançado através de um contrato IPC tipado (src/shared/ipc.ts).
• A análise de PCAP é executada numa thread de trabalho com um orçamento dinâmico de pacotes dimensionado ao tamanho do ficheiro, para que capturas grandes nunca bloqueiem a interface ou o motor de correlação.
• Sem chamadas de rede em tempo de execução. As bases de dados de threat intelligence, GeoIP e JA3 são guardadas em cache localmente a partir de fontes gratuitas; a análise funciona totalmente offline.

Uma documentação técnica completa está em docs/FULL_REPORT.md.

Ferramentas externas opcionais

O NetScope funciona sem nenhuma delas, mas irá utilizá-las quando estiverem presentes:

• tshark / dumpcap (Wireshark) — dissecção mais profunda e captura em tempo real.
• Suricata — deteções IDS baseadas em assinaturas.
• Zeek — registos de protocolo e artefactos da camada de aplicação.
• yara — correspondência de padrões de malware em ficheiros e fluxos extraídos.
• procdump — captura de memória durante a resposta.

Todas são gratuitas e de código aberto. O ecrã de configuração na aplicação deteta o que está instalado.

Lidar com capturas grandes

O parser da aplicação carrega o ficheiro inteiro para a memória, por isso existe um limite prático. Ficheiros até aproximadamente 500 MB são analisados sem problemas; 500 MB – 1,7 GB funciona, mas consome muita memória; acima de 1,7 GB o NetScope recusa de forma limpa e sugere dividir com editcap ou executar tshark / Zeek externamente. Ficheiros grandes são limitados em pacotes e claramente assinalados como parciais.

Apoie este projeto

O NetScope é gratuito, licenciado sob MIT e não tem financiamento por trás além do tempo livre. Se poupar tempo numa investigação, considere patrocinar o desenvolvimento — financia diretamente as horas que são dedicadas a novos parsers de protocolo e novas deteções.

Licença

Lançado sob a Licença MIT.