Le trafic d'une carte réseau, ventilé par hôte et par programme
Sniffnet est une application de bureau qui écoute une interface réseau de la machine et montre en direct avec qui elle échange des données : hôtes distants avec leur pays, leur nom de domaine et leur ASN, service de chaque connexion et, depuis la 1.5.0, programme à l'origine du trafic. Elle tourne sous Windows, macOS et Linux ; son interface est écrite en Rust avec la bibliothèque iced.
Géolocalisation hors ligne et alertes par webhook
- Pays et ASN calculés sur la machine : les bases GeoLite2 de MaxMind sont compilées dans le binaire, et une base MMDB personnalisée peut les remplacer. Les noms de domaine viennent du DNS inverse.
- Deux étages de filtres : une expression BPF restreint la capture (depuis la 1.4.1), puis la page Inspect cherche parmi les connexions, avec
!et!=pour exclure une valeur. - Trois déclencheurs d'alerte : un seuil d'octets, l'activité d'un favori, une adresse d'une liste noire importée (plages CIDR depuis la 1.5.1). Les alertes peuvent aussi partir en JSON vers un webhook.
- PCAP en lecture et en écriture : un fichier de capture s'ouvre dans l'interface, la session en cours s'enregistre au même format.
- Latence par connexion depuis la 1.5.1, et interface
anyde Linux pour capturer toutes les interfaces à la fois.
Diagnostiquer un poste ou relire la capture d'un serveur
- Trouver le programme qui sature la connexion d'un poste, dans la liste des programmes de la page Overview.
- Être averti, à l'écran ou par un bot branché sur le webhook, quand la machine contacte une adresse en liste noire.
- Relire en graphiques un fichier PCAP enregistré sur un serveur sans écran.
Droits de capture élevés et services devinés par le port
La capture exige des droits élevés. Sous macOS, l'application se lance en administrateur. Sous Linux, il faut accorder cap_net_raw et cap_net_admin au binaire avec setcap (le paquet RPM s'en charge) ou lancer sudo -E sniffnet, seule voie pour l'AppImage. Windows demande Npcap en mode compatible WinPcap. D'après le modèle de menace du projet, Sniffnet garde ces droits après l'ouverture de la capture.
Le service affiché se déduit du numéro de port. Les plus de 6 000 services, protocoles, chevaux de Troie et vers que le README dit reconnaître viennent de la table port-service de nmap. Sniffnet nomme une connexion d'après ses ports, pas d'après le contenu des paquets : une connexion vers le port 443 s'affiche comme https, quoi qu'elle transporte.
Aucune option ne lance Sniffnet sans interface graphique. La ligne de commande choisit l'interface au démarrage, affiche le chemin de la configuration ou restaure les réglages. L'image Docker, réservée à Linux, demande --net=host, les capacités NET_ADMIN et NET_RAW et un accès à l'affichage Wayland ou X11.
Le projet vise les non-spécialistes. Son site juge la plupart des analyseurs réseau difficiles à comprendre et fait de la prise en main par tous un pilier de Sniffnet.
La 1.5.1, du 22 juillet 2026, est la dernière version publiée, trois mois après la 1.5.0. La branche principale (dernier commit le 20 octobre 2026) contient un collecteur IPFIX pas encore publié, qui reçoit le trafic d'équipements distants. Le code est sous licence MIT ou Apache-2.0, au choix.
Un audit externe n'a relevé qu'un problème de faible gravité, déjà corrigé. Radically Open Security l'a mené dans le cadre du programme Next Generation Internet ; le projet en a publié les conclusions le 13 avril 2025. Le modèle de menace du dépôt liste des protections pas encore en place, dont le fuzzing du décodage des paquets et le refus des adresses de webhook en http://. Les fichiers PCAP exportés sont écrits en clair.