NetScope: ogni processo, ogni connessione, ogni byte

Il tuo Mac non sta mai zitto. Adesso, mentre leggi, qualche decina di processi tiene aperte qualche centinaio di connessioni: browser, app di chat, client di sincronizzazione, l'assistente AI nel terminale e una lunga lista di demoni di sistema che non hai mai lanciato tu. Alcuni muovono megabyte al secondo. La maggior parte non sapresti nominarli.

Monitoraggio Attività ti mostra un totale. Little Snitch ti fa una domanda per ogni nuova connessione e costa. Wireshark ti mostra ogni pacchetto e nessun contesto. Quello che manca è la via di mezzo: una sola finestra che dica, per applicazione, quanto sta passando, verso chi, da dove, se è cifrato, e se il programma che lo fa è davvero quello che dice di essere.

Volevo quella finestra, e la volevo onesta. Niente numeri che sono stime vestite da misure. Niente verdetti «intelligenti» che non si possono spiegare. Ogni cifra sullo schermo deve venire dal sistema ed essere riconducibile a un processo, a un socket e a un conteggio di byte.

macOS conserva ottime statistiche di rete nel kernel, per socket e per processo, e le espone attraverso la stessa interfaccia usata da nettop di Apple. Leggerle non richiede estensioni del kernel, estensioni di sistema né password di amministratore, e copre ogni processo della macchina, compresi quelli che girano come root. La maggior parte dei monitor di terze parti ignora questa strada e passa da lsof, che vede solo i tuoi processi e non sa nulla della banda.

La parte difficile non è leggere i numeri. È trasformarli in qualcosa di vero.

I contatori sono per socket e spariscono. Quando una connessione si chiude i suoi byte scompaiono dai totali. Se fai la differenza tra due campioni, ogni socket chiuso produce un numero negativo e un'implementazione ingenua mostra banda zero tutto il giorno. Bisogna lasciare che sia il kernel a calcolare i delta per intervallo e tenere il conto socket per socket.

I nomi dei processi mentono. Il nome che il kernel conserva è lungo quindici caratteri e viene dal file eseguibile. Uno strumento distribuito come binario con numero di versione compare come 2.1.260. La risposta vera sta nel percorso dell'eseguibile, negli argomenti e nella firma del codice, e helper, servizi XPC ed estensioni vanno attribuiti all'app a cui appartengono.

«Cifrato» non è un numero di porta. La porta 443 non è prova di TLS e la 5222 non è prova di testo in chiaro. Un monitor deve dire ciò che sa, dire ciò che deduce, e non vestire mai una deduzione da fatto.

Dove abita un indirizzo cambia. Paese, città e proprietario della rete vanno cercati, messi in cache, e mai inviati da nessuna parte per gli indirizzi privati e locali.

Niente di tutto questo è esotico. È una quantità di piccole decisioni che devono essere giuste tutte insieme.

NetScope legge un unico flusso continuo di statistiche del kernel e lo trasforma in un quadro di cui ti puoi fidare.

Banda in tempo reale per processo

Delta reali per intervallo per ogni processo, compresi i demoni di sistema, aggiornati ogni due secondi. Ogni app ha la sua sparkline e il totale di sessione; il grafico va da 1 minuto a 1 ora con il passaggio del mouse.

Ogni connessione, con la sua latenza

Host, porta, protocollo, stato, byte, RTT e stato della cifratura per ogni socket. Filtri per stabilite, cifrate, in chiaro, non verificate, locali e bloccate; ricerca su host, IP, porta, organizzazione, paese e servizio. Tasto destro per copiare, ping, traceroute, whois o bloccare.

Chi sta parlando davvero

Percorso dell'eseguibile, processo genitore, utente e firma del codice: Apple, App Store, Developer ID, ad hoc o non firmato. Helper, servizi XPC ed estensioni sono raggruppati nell'app a cui appartengono. Uno strumento a riga di comando con numero di versione è mostrato con il suo vero nome.

Dove va

Paese, città, proprietario della rete e ASN per ogni host pubblico, disegnati su una mappa reale a partire dal tuo Mac, con la ripartizione per paese in byte.

Porte in ascolto e avvisi

Ogni socket che accetta connessioni in ingresso, con l'indicazione se è raggiungibile dalla rete o legato a localhost. Notifiche macOS per una nuova app che va in rete per la prima volta, una porta che diventa raggiungibile, traffico in chiaro verso un host pubblico, e binari non firmati o ad hoc che si connettono.

Storico e controllo

Traffico per app registrato ogni minuto per 90 giorni, con grafici giornalieri e le app più attive per periodo. Un registro eventi reale con gli orari. Esportazione CSV e JSON. Blocco degli host con il firewall pf integrato. Ping, traceroute e whois in una finestra.

Barra dei menu e aggiornamenti

Una voce nella barra dei menu mostra in tempo reale download e upload, con un pannello delle app più attive. Gli aggiornamenti arrivano da un canale firmato: il manifest è verificato con Ed25519 e il file scaricato con SHA-256 prima che venga aperto. Il pulsante di download in questa pagina legge lo stesso identico canale.

NetScope è gratuita, notarizzata da Apple e universale. Richiede macOS 14 Sonoma o successivo. Non ha account né telemetria; la geolocalizzazione si può spegnere nelle Impostazioni, e gli indirizzi privati non vengono mai inviati da nessuna parte.