C'è un modo per determinare quale servizio (in svchost.exe) fa una connessione in uscita?

Sto ripristinando la mia configurazione del firewall con criteri più restrittivi e vorrei determinare la provenienza (e / o la destinazione) di alcune connessioni in uscita.

Ho un problema perché provengono da svchost.exe e vanno ai fornitori di servizi di consegna di contenuti / applicazioni web o simili:

5 IP in range: 82.96.58.0 - 82.96.58.255      --> Akamai Technologies         akamaitechnologies.com
3 IP in range: 93.150.110.0 - 93.158.111.255  --> Akamai Technologies         akamaitechnologies.com
2 IP in range: 87.248.194.0 - 87.248.223.255  --> LLNW Europe 2               llnw.net
205.234.175.175                               --> CacheNetworks, Inc.         cachefly.net
188.121.36.239                                --> Go Daddy Netherlands B.V.   secureserver.net

Quindi è possibile sapere quale servizio effettua una particolare connessione? O qual è la tua raccomandazione sulle regole applicate a queste?

(Comodo Firewall e Windows 7)

Aggiornare:

netstat -anoe tasklist /svcaiutami un po ', ma ci sono molti servizi in uno svchost.exe, quindi è ancora un problema. inoltre i nomi dei servizi restituiti da "tasklist / svc" non sono facilmente leggibili.

(Tutte le connessioni sono HTTP (porta 80) ma non credo sia rilevante)

Ho trovato un metodo in questa risposta di errore del server (sui servizi e sull'utilizzo della memoria) che potrei usare per analizzare individualmente l'utilizzo della rete dei servizi (con qualsiasi strumento di rete)

Dividi ogni servizio per eseguirlo nel proprio processo SVCHOST.EXE e il servizio che consuma i cicli della CPU sarà facilmente visibile in Task Manager o Process Explorer (lo spazio dopo "=" è richiesto):

SC Config Servicename Type= own

Fallo in una finestra della riga di comando o inseriscilo in uno script BAT. Sono richiesti privilegi di amministratore ed è necessario riavviare il computer prima che abbia effetto.

Lo stato originale può essere ripristinato da:

SC Config Servicename Type= share

SysInternals Process Explorer può farlo per te.

Aprire le proprietà del processo svchost.exedell'istanza che si sta tentando di analizzare. Fare clic sulla scheda TCP / IP . Fare doppio clic sulla connessione che si desidera scoprire per visualizzare una traccia dello stack della connessione. Dovresti essere in grado di risalire allo stack nella DLL che implementa il servizio. Ecco un estratto dal file della guida sull'argomento di Process Properites :

TCP / IP:

Tutti gli endpoint TCP e UDP attivi di proprietà del processo sono mostrati in questa pagina.

Su Windows XP SP2 e versioni successive questa pagina include un pulsante Stack che apre una finestra di dialogo che mostra lo stack del thread che ha aperto l'endpoint selezionato al momento dell'apertura. Ciò è utile per identificare lo scopo degli endpoint nel processo di sistema e nei processi Svchost perché lo stack includerà il nome del driver o del servizio responsabile dell'endpoint

Anche sulla configurazione dei simboli

Configura simboli: su Windows NT e versioni successive, se si desidera che Process Explorer risolva gli indirizzi per gli indirizzi di inizio thread nella scheda discussioni della finestra di dialogo delle proprietà del processo e nella finestra dello stack dei thread, quindi configurare i simboli scaricando prima il pacchetto Strumenti di debug per Windows dal Web di Microsoft sito e installarlo nella sua directory predefinita. Aprire la finestra di dialogo Configura simboli e specificare il percorso del dbghelp.dll che si trova nella directory Strumenti di debug e fare in modo che il motore dei simboli scarichi i simboli su richiesta da Microsoft in una directory sul disco inserendo una stringa del server dei simboli per il percorso del simbolo. Ad esempio, per scaricare i simboli nella directory c: \ simboli, immettere questa stringa:

srv c: \ simboli http://msdl.microsoft.com/download/symbols

Nota: potrebbe essere necessario eseguire Process Explorer come amministratore per poter vedere lo stack del thread.

So che questo potrebbe essere obsoleto, ma questa pagina è ancora in alto nella ricerca di "connessioni svchost", quindi lancerò il mio contributo qui. Esiste uno strumento chiamato Svchost Process Analyzer, che può aiutare: http://www.neuber.com/free/svchost-analyzer/index.html

Prova a usare tasklist /svce netstato netstat -andalla riga di comando.

Questo ti mostrerà i programmi che utilizzano svchost.exe e le porte. Utilizzando i numeri di porta, potresti essere in grado di cercare il protocollo che utilizza comunemente il numero. Vedere Elenco dei numeri di porta TCP e UDP .

TCPView è uno strumento grafico che ti mostrerà il servizio, il PID e la connessione TCP (sia locale che remota):

Utilizzare il task manager per visualizzare le colonne PID per ciascun processo nell'elenco dei processi. Quindi eseguire netstat -anoper visualizzare le connessioni attive e il PID associato (= ID processo).

L'utility NirSoft CurrPorts fa tutto quello che vuoi, incluso il filtraggio e la lista dei servizi di un processo.

In realtà, l'unico problema è come scegliere tra l'enorme numero di colonne di informazioni che può potenzialmente visualizzare.

Come accennato, trovare il PID di svchost determinato processo svchost e / o utilizzare applicazioni 3rd party come: Currports, ProcessExplorervi aiuterà a identificare i servizi nell'ambito del processo di data (svchost.exe o qualsiasi altra cosa). Inoltre, Svchost Viewer o Svchost Analyzer mostreranno rigorosamente anche le informazioni di svchost.

Volevo anche aggiungere: Le versioni più recenti del Task Manager di Windows integrato ti mostreranno almeno alcune informazioni limitate sui servizi in esecuzione sotto svchost (non è necessario installare nulla):

Innanzitutto, seleziona il processo svchost in Processi.
Fai clic con il pulsante destro del mouse sul processo svchost specificato e seleziona "Vai a servizi"
per accedere direttamente alla scheda servizi ed evidenziare determinati servizi in esecuzione nel processo svchost.

Un altro metodo:
Utilizzo del prompt CMD dell'amministratore:
tasklist /svc /fi "IMAGENAME eq svchost.exe" > svchost_services.txt
notepad svchost_services.txt
Questo è anche un modo rapido per ottenere il PID del dato svchost / servizio in questione.