NetWatch
开源终端网络监控工具，将抓包、连接分析、诊断等多种网络排查能力整合进单一终端界面，支持macOS、Linux和Windows，单二进制零配置运行
时间轴 (近 90 天)
NetWatch 是一个开源的终端网络监控工具，支持 macOS、Linux 和 Windows，以单个二进制文件、零配置方式运行，并提供十个功能标签页
NetWatch 的连接视图能列出每个 socket 及其背后的进程、PID、TCP 状态、GeoIP 归属、RTT 与重传情况
NetWatch 的进程归因结合了平台层的 socket 轮询、macOS 上的 PKTAP 以及 Linux 上可选的 eBPF kprobe 来实现
NetWatch 在数据包层面提供实时解码、显示过滤器、流追踪、JA4 指纹识别和 PCAP 导出
NetWatch 支持 TLS 1.3 和 1.2 的解密，前提是持有会话密钥，做法是把客户端的 SSLKEYLOGFILE 指向 NetWatch，明文会在 Packets 标签页中解码
NetWatch 内置的诊断引擎不使用任何模型，其工作方式是为每个指标学习基线，指标越界时开 issue，并按能区分不同原因的检查项对根因排序，只有修复持续有效后才关闭 issue
NetWatch 的出口漂移功能会学习每个进程通常访问的主机、自治系统和端口，可将学习结果提升为规则，之后任何新目的地都会被标记，但它只观察从不阻断
NetWatch 对 C2 信标通信、端口扫描和 DNS 隧道进行后台检测，触发严重告警时会冻结飞行记录仪以保存相关数据包
NetWatch 同一份采集可呈现为三种布局，按 V 键运行时循环切换：完整十标签视图、适配 80x24 的 --lite 精简模式，以及 --view dense 密集视图
NetWatch 的 Linux 构建为静态二进制并内置了 libpcap，安装方式包括 brew install netwatch 和 cargo install netwatch-tui
还有 1 条时间轴事件
全部知识事实 (11)
NetWatch 是一个开源的终端网络监控工具，支持 macOS、Linux 和 Windows，以单个二进制文件、零配置方式运行，并提供十个功能标签页
50%待验证NetWatch 的连接视图能列出每个 socket 及其背后的进程、PID、TCP 状态、GeoIP 归属、RTT 与重传情况
50%待验证NetWatch 的进程归因结合了平台层的 socket 轮询、macOS 上的 PKTAP 以及 Linux 上可选的 eBPF kprobe 来实现
50%待验证NetWatch 在数据包层面提供实时解码、显示过滤器、流追踪、JA4 指纹识别和 PCAP 导出
50%待验证NetWatch 支持 TLS 1.3 和 1.2 的解密，前提是持有会话密钥，做法是把客户端的 SSLKEYLOGFILE 指向 NetWatch，明文会在 Packets 标签页中解码
50%待验证NetWatch 内置的诊断引擎不使用任何模型，其工作方式是为每个指标学习基线，指标越界时开 issue，并按能区分不同原因的检查项对根因排序，只有修复持续有效后才关闭 issue
50%待验证NetWatch 的出口漂移功能会学习每个进程通常访问的主机、自治系统和端口，可将学习结果提升为规则，之后任何新目的地都会被标记，但它只观察从不阻断
50%待验证NetWatch 对 C2 信标通信、端口扫描和 DNS 隧道进行后台检测，触发严重告警时会冻结飞行记录仪以保存相关数据包
50%待验证NetWatch 同一份采集可呈现为三种布局，按 V 键运行时循环切换：完整十标签视图、适配 80x24 的 --lite 精简模式，以及 --view dense 密集视图
50%待验证NetWatch 的 Linux 构建为静态二进制并内置了 libpcap，安装方式包括 brew install netwatch 和 cargo install netwatch-tui
50%待验证NetWatch 项目托管在 GitHub，地址为 https://github.com/matthart1983/netwatch
50%