Verbindungen im Blick

In der Verbindungsansicht spielt sich das meiste Geschehen ab. Sie listet aktuelle und vergangene Netzwerkaktivität nach Anwendung auf, zeigt, was durch deine Regeln und Sperrlisten blockiert wird, und verfolgt Datenvolumen und Verlauf des Datenverkehrs.

Verbindungsansicht mit ausgeklappter Anwendung, blockierten und erlaubten Verbindungen

Die Verbindungsliste

Jede Anwendung erscheint als Eintrag auf oberster Ebene. Klappst du sie auf, siehst du die Domains, die sie kontaktiert hat, und kannst weiter bis zu Hostnamen und IP-Adressen mit Ports und Protokollen vordringen.

Um bei wachsender Liste den Überblick zu behalten:

Sortiere nach letzter Aktivität, Datenvolumen oder Name.
Filtere die Liste, sodass nur das angezeigt wird, was gerade für dich relevant ist.

Eine Verbindung zu blockieren erfordert nur einen Klick. Little Snitch erstellt dafür eine passende Regel. Du kannst sie später in der Regelansicht verfeinern.

Das Datenverkehrsdiagramm

Das Diagramm am unteren Rand zeigt das Datenvolumen im Zeitverlauf. Markiere einen Zeitbereich, um hineinzuzoomen. Das Zoomen filtert auch die Verbindungsliste, sodass nur Aktivität aus dem gewählten Zeitraum angezeigt wird. So lassen sich Fragen wie „Was war dieser plötzliche Anstieg des Datenverkehrs vor ein paar Stunden?“ schnell beantworten.

Datenverkehrsdiagramm mit ausgewähltem Zeitbereich und der gefilterten Liste darüber

Wie Little Snitch den Namen eines Servers kennt

Netzwerkverbindungen werden zu IP-Adressen aufgebaut, aber damit können Menschen wenig anfangen. Little Snitch zeigt deshalb wo immer möglich Domainnamen an. Es erfährt sie, indem es die DNS-Abfragen deines Systems beobachtet: Wenn eine Anwendung fragt „Wie lautet die Adresse von example.com?“, merkt sich Little Snitch die Antwort. Wird anschließend eine Verbindung zu dieser Adresse aufgebaut, versieht es die Verbindung mit dem Namen.

Das funktioniert in der Praxis sehr gut, ist aber eine Heuristik, keine Garantie. Mehrere Namen können auf dieselbe IP-Adresse verweisen, besonders bei Content-Delivery-Networks, wo sich Tausende voneinander unabhängige Websites eine Adresse teilen können. Wenn dir ein Name merkwürdig vorkommt, denk daran, dass es sich um einen gültigen Namen für diese Adresse handelt, aber nicht zwangsläufig um den, den die Anwendung tatsächlich verwendet hat.

Die Namenserkennung funktioniert am besten, wenn Little Snitch die DNS-Abfragen auch tatsächlich mitlesen kann. DNS-Caching und DNS-Verschlüsselung können sie verbergen. Wenn auf deinem System Namen fehlen oder falsch sind, sieh dir den Abschnitt zur DNS-Sichtbarkeit in den Erweiterten Themen an, der auch den Erkennungsmechanismus in voller Tiefe erklärt.

Verbindungen, die als „App via Hilfsprozess“ angezeigt werden

Manchmal zeigt der Prozess, der eine Verbindung öffnet, nicht die ganze Geschichte. Wenn du siehst, dass sich curl mit einem Server verbindet und du diesen Befehl nicht selbst eingegeben hast, lautet die eigentlich interessante Frage: Welches Programm hat curl verwendet, um Daten zu übertragen?

Little Snitch beantwortet das, indem es die übergeordneten Elternprozesse betrachtet. Findet es einen interessanten übergeordneten Prozess, zeigt es die Verbindung als „übergeordneter Prozess via Prozess“ an, zum Beispiel „backup-tool via curl“. Für diese Kombination kannst du Regeln erstellen: etwa curl erlauben, wenn dein Backup-Tool es verwendet, und für alles andere blockieren. Du kannst die Regel auch einfach für den übergeordneten Prozess anlegen. Sie erfasst dann auch Verbindungen, die dieser über einen beliebigen Hilfsprozess aufbaut.

Was als „interessanter“ übergeordneter Prozess zählt, bestimmen konfigurierbare Heuristiken. Manchmal sieht die Zuordnung falsch aus, etwa wenn ein Starter- oder Wrapper-Prozess dort erscheint, wo du die eigentliche Anwendung erwarten würdest. Das lässt sich anpassen: Wie die Zuordnung funktioniert, erfährst du in den Erweiterten Themen; wie du sie anpasst, steht in der Erweiterten Konfiguration.

Anwendungsversionen und Updates

Manche Anwendungen liegen unter Pfaden, die eine Versionsnummer enthalten. Oder sie sind unter einem Verzeichnis eingehängt, dessen Name sich bei jedem Start ändert (zum Beispiel AppImages). Little Snitch normalisiert solche Pfade, sodass eine Anwendung ihre Identität über Updates und Neustarts hinweg behält. Du siehst dadurch einen Eintrag pro Anwendung statt einen Eintrag pro Version, und deine Regeln überstehen Updates.

Die Normalisierung wird durch konfigurierbare Muster gesteuert. Falls eine Anwendung nach einem Update weiterhin mehrfach auftaucht, fehlt möglicherweise ein passendes Muster dafür. Wie die Normalisierung funktioniert und wie du Muster hinzufügst, erfährst du in den Erweiterten Themen.