Hodometer 1.3

Однофайловое нативное приложение для системного трея Windows (C, Win32, без среды выполнения), которое показывает, какая именно программа отправляет и получает байты и на какой хост, держит аудит подключений Windows включённым, позволяет вам или ИИ-агенту убить процесс или заблокировать программу на месте, и передаёт всё через сокет localhost, который могут использовать только программы, которым вы явно разрешили.

1.2 добавляет Inspector: приблизьтесь к одному процессу и увидите его подключения (состояние, RTT, повторные передачи, время подключения), его пакеты, декодированные на проводе (TLS SNI/ALPN, QUIC, DNS, HTTP), профиль процесса (CPU, память, диск, GPU, пользователь, командная строка, подписант) и временную шкалу (подключения, сбои, дочерние процессы, загрузки DLL), с экспортом в pcapng. Всё это поступает от собственных провайдеров ядра Windows и ndiscap.sys; устанавливать драйвер не нужно.

1.3 делает сокет пригодным для множества агентов одновременно (дизайн Sentinel в SENTINEL.md): команды выполняются в рабочих потоках, поэтому медленный inspect от одного клиента больше не блокирует остальных; до четырёх захватов pcapng работают одновременно, по одному на процесс; conns постранично перебирает каждый поток и может фильтровать по активным потокам или потокам, затронутым с метки времени; наблюдатель может запросить только декодированные рукопожатия вместо каждого кадра; событие flowinfo объявляет SNI, ALPN, HTTP-запрос или версию TLS каждого потока в момент их декодирования; каждое подключение может наблюдать за 64 процессами; inspect сообщает SHA-256 файла и кэширует проверки подписи.

Демо

Смотреть или скачать 72-секундное демо · Английские субтитры

Реальные кадры Hodometer показывают контролируемую загрузку через инспекцию процесса, захват пакетов и проверенную блокировку брандмауэром. Сегмент Sentinel — это чётко обозначенное смоделированное ИИ-расследование, с оценками и поведением пробного запуска, вычисленными кодом репозитория. Личные данные и посторонние процессы удалены из опубликованного видео.

Что он делает

• Точный трафик по процессам. В реальном времени читает провайдер ETW сетевой активности ядра (тот же источник, что использует Монитор ресурсов): отправленные и полученные байты по каждому процессу, с именем, полным путём и удалённым address:port, на который пришлось больше всего байт. Локальный и LAN-трафик по умолчанию скрыт (кнопка-переключатель или local on).
• Имена хостов. Определяются в реальном времени из провайдера ETW DNS-клиента (имя, которое программа фактически разрешила), с обычным DNS PTR-запросом в качестве запасного варианта. Отображаются в таблице и в каждом событии (host).
• Одометры и спарклайн. Счётчики с прокручивающимися цифрами для байт OUT и IN с текущими скоростями и пятиминутный график.
• Таблица процессов, отсортированная по текущей скорости, с 24-часовой поминутной историей по каждому процессу в памяти (history) и дописыванием в history.jsonl.
• Завершить или заблокировать. Выберите строку: Kill selected process (или клавиша Delete, правый клик), Block program (firewall) добавляет правила блокировки входящих и исходящих подключений Windows Firewall для пути этой программы; разблокировка — из контекстного меню. Приложение отказывается завершать процессы, без которых Windows не может работать, и сам себя.
• Хранитель аудита. Каждые 30 с проверяет подкатегорию аудита Filtering Platform Connection (то, что включает auditpol /set /subcategory:"Filtering Platform Connection" /success:enable /failure:enable). Если она выключена, он включает её обратно, записывает это в лог и сообщает подключённым агентам. Кнопка делает это немедленно.
• События подключений. При включённом аудите Windows записывает событие безопасности 5156 для каждого подключения; приложение пересылает каждое исходящее нелокальное подключение как событие conn с путём программы, назначением, именем хоста и портом.
• Всплески. Отдача свыше 0.75 МБ/с или загрузка свыше 1.5 МБ/с (настраивается) порождает событие spike, строку в hodometer.log и уведомление в трее (не чаще одного раза в 5 минут).
• Трей. Левый клик по значку показывает или скрывает окно; правый клик — пауза, восстановление аудита, забыть доверенные программы, папка логов, README, выход. Закрытие или сворачивание скрывает в трей; выход — в меню трея.

Инспектор (детальный просмотр процесса)

Дважды щёлкните строку, нажмите Inspect selected process, воспользуйтесь контекстным меню или отправьте inspect <pid> show через сокет. Одновременно может быть открыто до восьми окон Инспектора; каждое следит за одним pid.