Как отслеживать сетевую активность с помощью журналов Брандмауэра Windows. Мониторинг сети с использование утилиты TCPView и netstat

Мол, а как узнать какие программы сейчас пользуются интернетом, какие нет, что вообще занимает драгоценный канал загрузки/раздачи, через какие идет соединение и тд и тп.

В общем-то это стремление разумно и понятно, особенно, когда случаются какие-либо проблемы с скоростью, не понятно куда утекает или что вообще происходит с соединением на компьютере в общем и целом.

Сегодня речь пойдет как раз об этом.
Давайте приступим.

Анализируем сетевой и интернет трафик с TCPView и netstat

Первый и самой простой способ узнать происходящее, - это воспользоваться встроенной в Windows утилитой, которая зовется не иначе как netstat .

Чтобы воспользоваться ей, потребуется попасть в консоль, которая живет по пути "Пуск - Выполнить - " (или " " на клавиатуре):

В появившейся консоли достаточно ввести команду netstat , чтобы увидеть список установленных, ожидающих и иных соединений, их адреса и порты:

Это не совсем то, что нам нужно, ибо мы, в рамках этой статьи, хотели бы увидеть какая из программ, собственно, эти соединения устанавливает и использует, поэтому хорошо бы использовать эту команду с параметром -b , т.е вот так:

Вывод получится уже более наглядным, с указанием процесса и прочего:

Собственно, netstat имеет еще много интересных параметров, которые Вы можете узнать, введя команду netstat -h (кликабельно):

Хотите знать и уметь, больше и сами?

Мы предлагаем Вам обучение по направлениям: компьютеры, программы, администрирование, сервера, сети, сайтостроение, SEO и другое. Узнайте подробности сейчас!

Комбинируя эти параметры можно достигнуть множества интересных и подробных результатов, которые подойдут для диагностики ..

Но, как Вы понимаете, этот вариант, тем более для простого пользователя, всё же не самый наглядный, удобный и прочее.

Поэтому мы с Вами, в качестве второго решения, мы расскажем о такой программе как TCPView . Скачать программу можно, например, .

Установка не требуется, - просто распакуйте архив чем-нибудь вроде и запустите TCPView.exe . Программа полностью бесплатна, а поддержка русского языка, думаю, не требуется, - всё и так интуитивно понятно. Впрочем, мы расскажем, что в ней к чему.

Занимается она, как Вы уже, думаю, поняли, как раз тем, что выводит список всех программ соединенных в данный момент с чем-либо в сети и интернете, показывает удаленные и локальные порты, адреса, состояние соединения прочее.

Выглядит оное примерно вот так (кликабельно):

Где столбцы означают следующее:

Process , - это, соответственно, программа (процесс), который использует соединение;
PID , - идентификатор процесса;
Protocol , - протокол, который используется программой (процессом);
Local adress , - локальный адрес, задействованные процессом непосредственно на данном компьютере;
Local port , - тоже самое, что и Local adress , но только порт;
Remote adress , - удаленный адрес, т.е. с чем (каким адресом\хостом) соединен процесс (программа) в интернете;
Remote port , - тоже самое, что и Remote adress , но только порт;
State , - состояние соединения;
Sent Packets , - отправленное количество пакетов;
Sent Bytes , - отправленное количество байт;
Rcvd Packets , - полученное количество пакетов;
Rcvd Bytes , - полученное количество байт.

Нажав правой кнопкой мышки на любую из строчек можно завершить процесс (Close Proccess ) или завершить соединение (Close Connection ):

Так же можно вызвать свойства процесса дабы выяснить где он обитает в системе (Process Properties) или завершить его (End Process):

Нажав Ctrl + R можно так же преобразовать названия адресов в их (например, на

Здравствуйте!

Следует понимать, что IP-адрес - это идентификатор не человека в Интернете, а устройства, которое он использует для выхода в сеть. То есть, например, у вашего смартфона и модема, который вы подключаете к компьютеру, IP-адреса разные, хотя оба эти устройства принадлежат одному человеку - вам.

Давайте рассмотрим вариант получения какой-либо информации по IP-адресу, которым обычно пользуются чаще всего. Это адрес ПК пользователя. Именно при работе с ПК происходит основная активность обычного пользователя в Сети.

Итак, кто-то узнал ваш IP-адрес. Для этого есть много способов, среди которых сайты-ловушки (фейки), взлом сайтов и форумов, на которых вы зарегмстрированы, определение адреса в процессе общения в различных соц. сетях и прочих средствах Интернет-коммуникаций и т.д. В общем, частное лицо узнать ваш IP вполне может, это факт. И если это лицо обладает некоторым опытом или просто умеет пользоваться поиском в Интернете и способно разобраться с приводимыми в результатах поиска инструкциями, оно сможет получить о вас определённую информацию.

Например, специальные сервисы позволяют по одному лишь IP узнать, к примеру, телефон или даже реальный адрес. Но это не во всех случаях, дело может ограничиться лишь определением провайдера и страны, не больше.

Также, IP-адрес можно просканировать на наличие открытых портов. И если один из этих портов окажется открытым уязвимой программой (а неуязвимых в принципе быть не может), можно будет получить доступ к информации на вашем ПК, вашим аккаунтам в Сети или даже удалённому управлению вашим компьютером. А хотя бы один открытый порт значит, что пользователь с этим IP в сети (вы как раз этим вопросом интересовались).

Я сейчас объяснил довольно примитивно, на пальцах, но этого достаточно, чтобы понимать возможности, которые открывает злоумышленнику знание вашего IP. Далее я опишу способы защиты.

Обычному пользователю достаточно установить фаервол и поддерживать его обновления в актуальном состоянии. Он обеспечит именно ЗАЩИТУ от злоумышленников. Если же вам нужна АНОНИМНОСТЬ, то можно пользоваться динамическим IP (изменяется при каждом подключении), прокси-сервером или цепочкой из них и т.д. Первое средство менее надёжно (у провайдера можно при наличии полномочий или взломе его базы данных узнать, кто пользовался IP в определённое время и даже какие действия этот человек совершал). С прокси всё так же, но вот проделать это действие с цепочкой из нескольких серверов потребует времени. И пока дойдёт до последнего, информация о вас уже может быть удалена за давностью.

Хочу отметить, что все эти средства поддержания анонимности полезны, например, для хакеров, которые совершают противоправные действия и не хотят понести за них ответственность. А обычном пользователю они не требуются. Вы можете спокойно общаться в сети, читать статьи, смотреть фильмы, слушать музыку и играть в игры. Ни спецслужбы, не толпы хакеров не горят желанием узнать подробности этого=) Фаервола, а также антивируса (или комбинированного решения из этих и других программ для безопасности) будет вполне достаточно, а абсолютная анонимность подавляющему большинству пользователей Интернета совсем не нужна, так как информация о их действиях просто напросто не представляет особой ценности.

5 года назад от Gelor (71,760 баллов)

Давайте взглянем на ваш вопрос более грамотно. Во-первых Вы не являетесь компьютером или каким-нибудь киборгом и не можете быть подключены к интернету лично. Лично Вы можете использовать для выхода в интернет любой доступный аппарат, будь то компьютер/ноутбук или смартфон/планшет. В наше время даже телевизоры подключаются к интернету, и это вовсе не значит что люди которые их смотрят "находятся в сети".

Для того чтобы передать информацию в интернет о том что вы в данный момент доступны, потребуется установить или использовать кое-какие программы или сервисы, отображающие вашу активность в реальном времени, но все эти сервисы вы можете самостоятельно держать под контролем и не давать через них информацию которой вы не желаете делится с людьми.

Для примера. Раньше для определения онлайн-статуса повсеместно люди использовали ICQ. Заметим, что они сами устанавливали себе клиент программы потому что им было необходимо делится этой информацией с людьми. Соответственно, отсутствие или отключение ICQ-клиента приводило к невозможности связи с человеком. Сейчас по подобию ICQ уже были сделаны десятки различных служб, которые имеются на большинстве популярных сайтов и служб. Это выглядит как чат, и его теперь даже не требуется отдельно устанавливать на компьютер - все будет работать через браузер где бы вы его ни запустили.

Отличие такого мессенджера от IP заключается в том, что для того что-бы использовать мессенджеры вы должны использовать логин и пароль, которые должны быть по правилам, известны только вам одному и больше никому. Это подтверждает вашу личность в интернете. Если же обнаружен вход с определенного IP-адреса, то это подтверждает соединение определенной единицы техники, которой может пользоваться кто угодно, и личность вашу не подтвердит. К тому-же большинство IP-адресов сейчас обычно выделяется в произвольном порядке провайдерами, и определить что происходило в какой-то определенный момент времени можно только изучая логи на серверах вашего провайдера.

Так что же значит понятие "я нахожусь в сети"? Вот у меня есть смартфон, подключенный к интернет постоянно. Он постоянно со мной и через него я могу получить сообщения от людей из интернет даже если я сам им не пользуюсь. Я могу водить машину, сидеть в кафе, в библиотеке или в кинотеатре имея при себе этот смартфон. Так вот скажите, нахожусь-ли я в сети в этот момент? Ответ прост - смартфон находится в сети, а я занимаюсь другими делами, но у меня есть возможность связи с людьми через интернет, даже если я не сижу и не смотрю безотрывно в экран. Да, впрочем, я точно также все время доступен и для телефонного звонка, если кому-то захочется поговорить, но только номер своего телефона я не буду сообщать тем, с кем не желаю разговаривать. И в интернете я имею возможность не сообщать другим людям свои контактные данные, оставаясь доступным для друзей.

Используйте то чем располагаете с умом, и не надо вести себя как параноик и боятся всего вокруг. Вы всегда имеете возможность не давать о себе ту информацию которую не хотите давать. Для этого просто не нужно ее печатать или говорить где попало и кому попало.

Введение

TCPView - это программа, предназначенная для операционной системы Windows, которая выводит на экран списки конечных точек всех установленных в системе соединений по протоколам TCP и UDP с подробными данными, в том числе с указанием локальных и удаленных адресов и состояния TCP-соединений. В операционных системах Windows NT, 2000 и XP программа TCPView также сообщает имя процесса, которому принадлежит конечная точка. Программа TCPView является дополнением программы Netstat, поставляемой вместе с ОС Windows, и предоставляет расширенный набор сведений в более удобной форме. В комплект загрузки программы TCPView входит программа Tcpvcon с теми же функциональными возможностями, предназначенная для работы в режиме командной строки.

Программа TCPView работает в операционных системах Windows NT/2000/XP и Windows 98/Me. Программу TCPView можно использовать также в операционной системе Windows 95 при условии установки пакета обновления Winsock 2 для ОС Windows 95, предоставляемого корпорацией Microsoft.

Использование программы TCPView

При запуске программа TCPView формирует список всех активных конечных точек соединений по протоколам TCP и UDP, отображая все IP-адреса в виде доменных имен. Чтобы переключить режим отображения для просмотра адресов в цифровом виде, можно использовать кнопку панели инструментов или пункт меню. В операционных системах Windows XP программа TCPView для каждой конечной точки отображает имя процесса, которому эта точка принадлежит.

По умолчанию программа TCPView обновляет информацию один раз в секунду, но период обновления можно изменить с помощью пункта Refresh Rate (Период обновления) в меню Options (Параметры). Если в период между обновлениями состояние конечной точки изменилось, она выделяется желтым цветом, если конечная точка удалена - красным цветом, новые конечные точки отображаются зеленым цветом.

Чтобы закрыть установленные подключения по протоколам TCP/IP (с отметкой состояния ESTABLISHED (установлено)), можно выбрать пункт Close Connections (Закрыть подключения) в меню File (Файл) или щелкнуть правой кнопкой мыши какое-либо подключение и выбрать в контекстном меню пункт Close Connections .

Данные, отображенные в окне программы TCPView, можно сохранить в виде файла с помощью пункта меню Save (сохранить).

Применение программы Tcpvcon

Применение программы Tcpvcon аналогично применению служебной программы netstat, которая встроена в операционную систему Windows.

Применение: tcpvcon [-a] [-c] [-n] [имя процесса или PID]

Исходный текст программы Netstatp

Хотите знать, как работает программа TCPView? На примере исходного текста программы Netstatp показано, как можно запрограммировать некоторые функции программы TCPView. На примере этой программы показано, как использовать интерфейсы IP Helper (см. описание в документах на узле MSDN), чтобы получить список конечных точек соединений по протоколу TCP/IP. Однако обратите внимание, что программа netstatp не выводит имена процессов в системах NT 4 и Windows 2000, как это делают программы TCPView и TCPVCon.

Статья базы знаний Microsoft о программе TCPView

Данная статья базы знаний Майкрософт посвящена программе TCPView:

Взаимосвязанная служебная программа

TDImon - показывает активность с использованием протоколов TCP и UDP в реальном времени.

Если вам понравилась программа TCPView, то программа TCPView Pro понравится вам еще больше. Программа TCPView Pro, разработанная компанией Winternals Software, обладает рядом функций, благодаря которым она является намного более мощным и полезным средством, чем программа TCPView. Это такие функции: просмотр данных о процессах, которым принадлежат конечные точки открытых соединений (также действует в системе Windows 9x)

просмотр активности процессов с использованием протоколов TCP и UDP в реальном времени
использование усовершенствованных методов фильтрации для показа только необходимых данных.
и многое другое...

Программа TCPView Pro поставляется в составе пакета Winternals Administrator"s Pak.

То скорее всего знаете о на наличии в ней встроенного брандмауэра. Возможно вы также умеете разрешать и блокировать доступ отдельных программ в сеть, чтобы контролировать входящий и исходящий трафик. Но знаете ли вы, что фаервол Windows может быть использован для регистрации всех проходящих через него соединений?

Журналы Брандмауэра Windows могут быть полезны при решении отдельных проблем:

Используемая программа не может подключиться к Интернету, несмотря на то, что с другими приложениями эта проблема не наблюдается. В данном случае для устранения неисправности следует проверить, не блокирует ли системный фаервол запросы данной программы на подключение.
Вы подозреваете, что компьютер используется для передачи данных вредоносной программой и хотите провести мониторинг исходящего трафика на предмет подозрительных запросов подключения.
Вы создали новые правила разрешения и блокировки доступа и хотите убедиться, что фаервол корректно обрабатывает заданные инструкции.

Независимо от причин использования, включение протоколирования событий может быть сложной задачей, так как требует многих манипуляций с настройками. Приведем четкий алгоритм действий, как активировать регистрацию сетевой активности в фаерволе Windows.

Доступ к настройкам фаервола

Во-первых, нужно перейти к расширенным настройкам брандмауэра Windows. Откройте панель управления (клик правой кнопкой мыши по меню Пуск, опция “Панель управления”), затем нажмите ссылку “Брандмауэр Windows”, если стоит режим просмотра мелкие/крупные значки, либо выберите раздел “Система и безопасность”, а затем “Брандмауэр Windows”, если стоит режим просмотра категория.

В окне фаервола выберите опцию в левом навигационном меню “Дополнительные параметры”.

Вы увидите следующий экран настроек:

Это внутренняя техническая сторона брандмауэра Windows. Данный интерфейс позволяет разрешать или блокировать доступ программ в Интернет, настраивать входящие и исходящий трафик. Кроме того, именно здесь можно активировать функцию регистрации событий - хотя не сразу понятно, где это можно сделать.

Доступ к настройкам журнала

Во-первых, выберите опцию “Брандмауэр Windows в режиме повышенной безопасности (Локальный компьютер)”.

Кликните правой кнопкой мыши по ней и выберите опцию “Свойства”.

Откроется окно, которое может запутать пользователя. При выборе трех вкладок (Профиль домена, Частный профиль, Общий профиль) можно заметить, что их содержимое идентично, но относится к трем различным профилям, название которых указано в заголовке вкладки. На вкладке каждого профиля содержится кнопка настройки ведения журнала. Каждый журнал будет соответствовать отдельному профилю, но какой профиль используете вы?

Рассмотрим, что означает каждый профиль:

Профиль домена используется для подключения к беспроводной сети Wi-Fi, когда домен задается контроллером домена. Если вы не уверены, что это значит, лучше не используйте данный профиль.
Частный профиль используется для подключения к частным сетям, включая домашние или персональные сети - именно данный профиль вы скорее всего будете использовать.
Общий профиль используется для подключения к общественным сетям, включая сети ресторанов, аэропортов, библиотек и других учреждений.

Если вы используете компьютер в домашней сети, перейдите на вкладку “Частный профиль”. Если используется публичная сеть, перейдите на вкладку “Общий профиль”. Нажмите кнопку “Настроить” в секции “Ведение журнала” на корректной вкладке.

Активация журнала событий

В открывшемся окне вы можете настроить расположение и максимальный размер журнала. Можно задать легко запоминающееся место для лога, но на самом деле локация файла журнала не имеет особо значения. Если вы хотите запустить регистрацию событий, в обоих выпадающих меню “Записывать пропущенные пакеты” и “Записывать успешные подключения” установите значение “Да” и нажмите кнопку “ОК”. Постоянная работа функции может привести к проблемам производительности, поэтому активируйте ее только когда действительно нужно выполнить мониторинг подключений. Для отключения функции логирования установите значение “Нет (по умолчанию)” в обоих выпадающих меню.

Изучение журналов

Теперь компьютер будет фиксировать сетевую активность, контролируемую фаерволом. Для того, чтобы просмотреть логи, перейдите в окно “Дополнительные параметры”, выберите опцию “Наблюдение” в левом списке, а затем в секции “Параметры ведения журнала” кликните ссылку “Имя файла”.

Затем откроется журнал сетевой активности. Содержимое журнала может запутать неопытного пользователя. Рассмотрим основное содержимое записей журнала:

Дата и время подключения.
Что произошло с подключением. Статус “ALLOW” означает, что фаервол разрешил подключение, а статус “DROP” показывает, что подключение было заблокировано фаерволом. Если вы столкнулись с проблемами подключения к сети отдельной программы, то сможете точно определить, что причина проблемы связана с политикой брандмауэра.
Тип подключения - TCP или UDP.
По порядку: IP-адрес источника подключения (компьютера), IP-адрес получателя (например, веб-страницы) и используемый на компьютере сетевой порт. Данная запись позволяет выявлять порты, которые требуют открытия для работы ПО. Также следите за подозрительными подключениями - они могут быть совершены вредоносными программами.
Был ли успешно отправлен или получен пакет данных.

Информация в журнале поможет выяснить причину проблем подключения. Журналы могут регистрировать и другую активность, например, целевой порт или номер подтверждения TCP. Если вам нужны подробности, ознакомьтесь со строкой “#Fields” в верхней части лога, чтобы идентифицировать значение каждого показателя.

Не забудьте отключить функцию ведения журнала после завершения работы.

Расширенная диагностика сети

С помощью использования журнала брандмауэра Windows, вы можете проанализировать типы данных, обрабатываемых на компьютере. Кроме того, можно установить причины проблем с сетью, связанные с работой фаервола или другими объектами, нарушающими соединения. Журнал активности позволяет ознакомиться с работой фаервола и получить четкое представление о происходящем в сети.

Нашли опечатку? Нажмите Ctrl + Enter