Windows 也终于有了自己的 Little Snitch：PacketHound

packethound.app / packethound-app/packethound.app（GitHub 页面 11 月 8 日直读：13 星、1 fork、6 个 commit，GPL-3.0，2026-11-05 创建——很早期，三天连发 1.0.0/1.1.0/1.2.0 三个版本；11 月 8 日登 HN 首页，30 分）。先定性：这是一个独立的免费开源工具，不是 Little Snitch 的 Windows 移植版（Little Snitch 是 macOS 闭源付费软件）——作者自述"in the spirit of Little Snitch"：第三方应用第一次联网时弹窗问 Allow 还是 Block，答案存为一条普通的 Windows 防火墙规则。

PacketHound 官网配图

原理：不要内核驱动，全部建在 Windows 防火墙之上

README 口径的三步：把出站默认改成 Block；开启"Filtering Platform Connection"失败审计，被拦的出站尝试以事件 5157 写进安全日志；PacketHound 订阅该日志，对没有规则的应用弹窗。白名单很硬：Windows 自身组件须同时满足三条（位于 Windows 目录 + 文件属主为 TrustedInstaller/SYSTEM + 有效的 Microsoft Windows 签名）才自动放行——把恶意软件拷进 System32 也拿不到免费通行证；PowerShell、curl、certutil、mshta、rundll32 等常被用来下载 payload 的自带工具仍会被问。

关键限制（README 原文口径，必须写）

第一次连接必然失败——它是因为连接被拦才知道这个应用的存在，点 Allow 后应用必须重试一次（多数应用会自动重试，浏览器刷新即可）；真正“先拦住、等回答再放行”需要签名的内核级 WFP callout 驱动，作者明确说做不到；
规则按路径匹配：新版本装进新文件夹会被当成新程序再问一次；
未代码签名，首次运行会弹 SmartScreen 警告（可对照官网 SHA-256 校验）；需要管理员权限；
只管出站联网——不管入站、不杀毒，“装上就安全”不成立。

实用细节

规则就是 wf.msc 里能看到的普通防火墙规则（退出 PacketHound 后仍生效）；卸载时问要不要删规则并恢复原设置；不收集数据、无分析统计，每周查一次新版本（可关）；提示窗不抢键盘焦点；规则支持“仅此 IP / 仅此主机 / 仅此域名”与“永久 / 仅到应用退出”两种粒度；安装器约 65MB 自包含（.NET 10 运行时在内）。

RuntimeWire 报道配图

判断

两点校准：① 13 星、3 天、作者一人——当早期项目看，功能全不全不是重点，重点是实现思路：用“防火墙规则 + 事件 5157 日志订阅”绕开内核驱动，把 ask-first 出站防火墙做成了纯用户态——代价（首次连接必失败）写得清清楚楚，这种诚实在安全工具里难得；② Windows 用户等这类工具等了很多年（Little Snitch 2009 年就在 macOS 上），需求早被反复验证——它能不能长成，取决于作者能不能撑过“路径规则被新版本绕过”这类边角的持续打磨，值得放进观察名单。