Bloqueio e proteção

Onde se conecta

Conexões mostra cada conexão aberta em um globo, direcionada ao país onde seu endereço está registrado, com os países mais ativos em uma lista e os sockets abaixo. Clique em um país para filtrar. O país vem do banco gratuito DB-IP incluído no app, então nenhum endereço sai do Mac. É o país de registro: um endereço CDN ou VPN mostra o país de seu proprietário, não onde está o servidor.

O que é isto?

Clique em ⓘ em uma conexão, tentativa bloqueada, solicitação de aprovação ou linha do registro de rede do agente para ver o que é o processo e, quando o Kilobat tem um nome de host, o que é o host. Ele mostra o tráfego normal, quando o processo usa muito, se é seguro bloqueá-lo e o que deixará de funcionar, com links para as páginas completas do processo e do host. Uma conexão com apenas um endereço mostra sua rede e país, sem tentar adivinhar um nome de host. As respostas vêm do banco de dados do próprio Kilobat, incluído no app, então nada é consultado online. Para um processo ou host desconhecido, ele mostra o que sabe: a assinatura de código, o caminho e a rede e o país do endereço. No macOS 26 ou posterior, com o Apple Intelligence ativado, ele acrescenta uma breve estimativa do modelo da Apple executado no próprio dispositivo, identificada como tal; nada sai do Mac. Grátis. No Terminal, kilobat explain nsurlsessiond gateway.icloud.com; para agentes, a ferramenta MCP explain_connection.

Bloqueio e filtragem

O monitoramento funciona sem filtragem. Para aplicar regras, abra a configuração de filtragem no Kilobat e aprove a extensão e o filtro de conteúdo quando o macOS solicitar. No macOS atual, as extensões ficam em Ajustes do Sistema → Geral → Itens de Início e Extensões → Extensões de Rede.

A filtragem afeta novas conexões; uma conexão existente pode continuar até se reconectar. Se uma regra interromper algo importante, mude para Sem restrições ou desative a filtragem em Ajustes.

Novos apps: permitir, perguntar ou bloquear

O indicador acima da lista de apps define o que Viagem e Trabalho fazem com apps sem regra. Permitir deixa conectar. Perguntar retém as primeiras conexões de um app e abre uma janela com quem o assinou, seu caminho e para onde quer ir; permita ou bloqueie uma vez e o Kilobat salva a regra. Conexões sem resposta desistem após um minuto e o app pergunta novamente. Bloquear permite conectar apenas apps autorizados. Ative Permitir software Apple para deixar serviços do macOS e apps da Apple passarem sem perguntar. Sua lista de bloqueio e regras de conexão se aplicam em todos os modos e, se o Kilobat não estiver em execução, novos apps são permitidos em vez de retidos.

Proteção: ameaças, rastreadores e proteção de agentes

Com o filtro de rede ativo, Ajustes › Proteção bloqueia conexões de todos os apps a destinos maliciosos conhecidos e identifica o app que tentou se conectar. O Kilobat baixa as listas públicas de seus editores para o Mac uma vez por dia (usando os validadores de cache enviados por eles, para não baixar novamente uma lista inalterada), verifica cada download e mantém a última cópia válida se algum falhar. Nenhuma informação sobre suas conexões é enviada.

• Bloquear ameaças (Pro, ativado por padrão com o Pro): hosts e endereços de malware, phishing e golpes das listas HaGeZi’s Threat Intelligence Feeds (domínios e IPs) e HaGeZi Fake e da URLhaus por meio de malware-filter. Um domínio listado cobre seus subdomínios.
• Proteção de agentes (Pro, desativada por padrão): para Claude Code, Codex, Cursor e os demais agentes reconhecidos pelo Kilobat, e tudo o que eles iniciam por shells, npm, pip ou curl. Ameaças conhecidas são sempre bloqueadas para agentes; a proteção acrescenta sites de colagem, compartilhamento de arquivos, túneis e coletores de solicitações, endereços IP públicos digitados diretamente em um comando e interrompe conexões que enviem mais de 10 MB (50 ou 200, se você escolher) a um host que nenhum agente deste Mac tenha usado antes. Um upload interrompido não pode aguardar sua confirmação: o outro lado esgotaria o tempo de espera. Por isso, o Kilobat bloqueia e avisa; Permitir Site libera o acesso na próxima vez.
• Bloquear rastreadores em apps (gratuito, desativado por padrão): uma lista à sua escolha entre HaGeZi Multi Light, HaGeZi Multi Normal, OISD small e hosts de StevenBlack.

Ordem de prioridade. O bloqueio de emergência da VPN vem primeiro. Em seguida, as ameaças conhecidas e a proteção de agentes prevalecem sobre todas as regras de permissão e perfis, inclusive Sem restrições; somente a rede local, os serviços da Apple, o próprio Kilobat e os sites que você permitiu nunca são bloqueados. Os rastreadores vêm depois das suas regras de permissão: Sem restrições, uma regra de destino ou Permitir Site libera um rastreador.

Onde aparece. Conexões › Tentativas bloqueadas mostra o tipo de cada bloqueio (malware, phishing, golpe, ameaça conhecida, rastreador ou proteção de agentes), a lista e o agente, com Permitir Site. Uma notificação é enviada por app, host e dia, por exemplo: “Bloqueado: npm (iniciado por Claude Code) tentou acessar um host de malware conhecido”; rastreadores não geram notificações. O registro de rede dos agentes marca a linha como Bloqueado, Saúde exibe “Proteção ativada · 263.000 ameaças conhecidas · atualizado há 2 h” e o menu mostra uma linha apenas após algum bloqueio na última hora.

O que não consegue ver. Não é um antivírus e não verifica arquivos; mantenha o XProtect ativado. O Kilobat conhece o nome de uma conexão quando o app o fornece, ou pelo nome do servidor na saudação criptografada (TLS SNI) ou na linha HTTP Host, que lê nos primeiros bytes das conexões recebidas sem nome. Conexões QUIC sem nome e apps que usam seu próprio DNS criptografado e depois se conectam pelo endereço são verificados apenas pelo endereço. Um nome usado por outra conexão para o mesmo endereço é usado apenas para ameaças, nunca para rastreadores, pois um endereço de CDN atende a muitos sites. Os agentes são encontrados percorrendo os processos ancestrais do processo que se conecta; portanto, um servidor iniciado por um agente e transferido ao launchd deixa de ser associado ao agente.

No Terminal: kilobat protect para o estado, kilobat protect on --agents, kilobat protect on --trackers --list oisd-small, kilobat protect check downloads.example.com, kilobat protect allow example.com e kilobat protect update. Os agentes leem check_host_reputation e get_protection_status; set_protection pede sua confirmação primeiro.

Por que foi permitido ou bloqueado?

Escolha Por quê? em uma tentativa bloqueada em Conexões › Tentativas bloqueadas ou em uma conexão aberta em Conexões para ver todas as regras do Kilobat que corresponderam a ela, na ordem em que o filtro as verifica, com a que decidiu primeiro: “Bloqueado pela Proteção: login.example está na lista de phishing (HaGeZi Threat Intelligence Feeds)”, seguida de “Também correspondeu: Slack está pausado no iPhone, uma rede com limite de dados, até encontrar uma rede sem limite”. Cada regra leva ao local onde você pode alterá-la, e a retenção de Enviar depois oferece Enviar agora.

A ordem é a do filtro: o kill switch da VPN, as ameaças da Proteção e a proteção de agentes, Sem restrições, regras de destino (as mais recentes primeiro), lista de bloqueio, rastreadores e, depois, as regras do próprio app: uma regra temporizada (sua ou criada por Enviar depois, modo de chamada ou transmissão ao vivo), o limite de dados da rede, a cota do app, atualizadores pausados, a regra do app no perfil atual, uma resposta dada quando solicitado e, por último, o padrão do perfil para apps sem regra. Uma regra correspondente que veio depois aparece como também correspondente: altere a que decidiu e ela poderá decidir em seu lugar. Notas, como um site permitido apesar da Proteção ou o kill switch permitindo a rede local, explicam sem decidir.

Em uma tentativa bloqueada, o filtro registra as regras no momento do bloqueio, então a resposta mostra o que aconteceu naquela ocasião, mesmo que suas regras ou a VPN tenham mudado depois. Registros anteriores a esse recurso e conexões que o filtro não conseguiu associar a um app são verificados com suas regras atuais, e isso é informado. Conexões permitidas são sempre verificadas com as regras atuais. O registro ocorre apenas para conexões bloqueadas pelo filtro, sem custo adicional para o tráfego permitido.

No Terminal: kilobat verdict api.example.com --app com.tinyspeck.slackmacgap, kilobat verdict --app com.example.App para as regras do próprio app e kilobat verdict --blocked 10 para as últimas tentativas bloqueadas, cada uma com o comando que altera a regra. Agentes chamam explain_verdict, que retorna o mesmo JSON de --json.

Bloqueio de domínios e IPs

Clique com o botão direito em uma conexão aberta de um app para bloquear esse host para o app ou para todos. A lista de bloqueio aceita domínios (incluindo subdomínios; *.example.com também funciona), endereços IP e intervalos CIDR, além de uma lista de hosts importada. No Terminal: kilobat block-host ads.example.com.