Existe-t-il un moyen de déterminer quel service (dans svchost.exe) une connexion sortante?

Je refais ma configuration de pare-feu avec des politiques plus restrictives et je voudrais déterminer la provenance (et / ou la destination) de certaines connexions sortantes.

J'ai un problème car ils proviennent de svchost.exe et vont aux fournisseurs de livraison de contenu / application Web - ou similaire:

5 IP in range: 82.96.58.0 - 82.96.58.255      --> Akamai Technologies         akamaitechnologies.com
3 IP in range: 93.150.110.0 - 93.158.111.255  --> Akamai Technologies         akamaitechnologies.com
2 IP in range: 87.248.194.0 - 87.248.223.255  --> LLNW Europe 2               llnw.net
205.234.175.175                               --> CacheNetworks, Inc.         cachefly.net
188.121.36.239                                --> Go Daddy Netherlands B.V.   secureserver.net

Est-il donc possible de savoir quel service effectue une connexion particulière? Ou quelle est votre recommandation concernant les règles appliquées à celles-ci?

(Pare-feu Comodo et Windows 7)

Mise à jour:

netstat -ano& tasklist /svcaidez-moi un peu mais ce sont de nombreux services dans un seul svchost.exe donc c'est toujours un problème. de plus, les noms de service renvoyés par "tasklist / svc" ne sont pas faciles à lire.

(Toutes les connexions sont HTTP (port 80) mais je ne pense pas que ce soit pertinent)

J'ai trouvé une méthode dans cette réponse de panne de serveur (sur les services et l'utilisation de la mémoire) que je pouvais utiliser pour analyser individuellement l'utilisation du réseau des services (avec n'importe quel outil réseau)

Divisez chaque service pour qu'il s'exécute dans son propre processus SVCHOST.EXE et le service consommant les cycles du processeur sera facilement visible dans le Gestionnaire des tâches ou l'Explorateur de processus (l'espace après "=" est requis):

SC Config Servicename Type= own

Faites-le dans une fenêtre de ligne de commande ou placez-le dans un script BAT. Les privilèges administratifs sont requis et un redémarrage de l'ordinateur est requis avant qu'il ne prenne effet.

L'état d'origine peut être restauré par:

SC Config Servicename Type= share

SysInternals Process Explorer peut le faire pour vous.

Ouvrez les propriétés de processus de l' svchost.exeinstance que vous essayez d'analyser. Clique sur le onglet TCP / IP . Double-cliquez sur la connexion que vous souhaitez découvrir pour afficher une trace de pile de la connexion. Vous devez pouvoir retracer la pile jusqu'à la DLL qui implémente le service. Voici un extrait du fichier d'aide sur le sujet des propriétés du processus :

TCP / IP:

Tous les points de terminaison TCP et UDP actifs appartenant au processus sont affichés sur cette page.

Sur Windows XP SP2 et supérieur, cette page comprend un bouton Pile qui ouvre une boîte de dialogue qui affiche la pile du thread qui a ouvert le point de terminaison sélectionné au moment de l'ouverture. Ceci est utile pour identifier la finalité des points de terminaison dans le processus système et les processus Svchost car la pile inclura le nom du pilote ou du service responsable du point de terminaison

Aussi sur la configuration des symboles

Configurer les symboles: sous Windows NT et versions ultérieures, si vous souhaitez que Process Explorer résout les adresses des adresses de début de thread dans l'onglet threads de la boîte de dialogue des propriétés du processus et la fenêtre de la pile de threads, puis configurez les symboles en téléchargeant d'abord le package Debugging Tools for Windows depuis le site Web de Microsoft site et l'installer dans son répertoire par défaut. Ouvrez la boîte de dialogue Configurer les symboles et spécifiez le chemin d'accès au fichier dbghelp.dll qui se trouve dans le répertoire des outils de débogage et demandez au moteur de symboles de télécharger les symboles à la demande de Microsoft vers un répertoire de votre disque en entrant une chaîne de serveur de symboles pour le chemin des symboles. Par exemple, pour que les symboles soient téléchargés dans le répertoire c: \ symboles, vous devez saisir cette chaîne:

srv c: \ symboles http://msdl.microsoft.com/download/symbols

Remarque: Vous devrez peut-être exécuter Process Explorer en tant qu'administrateur pour pouvoir voir la pile du thread.

Je sais que cela peut être obsolète, mais cette page se classe toujours à la recherche de "connexions svchost", donc je vais lancer mon entrée ici. Il existe un outil appelé Svchost Process Analyzer, il peut vous aider: http://www.neuber.com/free/svchost-analyzer/index.html

Essayez d'utiliser tasklist /svcet netstatounetstat -an partir de la ligne de commande.

Cela vous montrera les programmes qui utilisent svchost.exe et les ports utilisés. À l'aide des numéros de port, vous pourrez peut-être rechercher le protocole qui utilise généralement le numéro. Voir Liste des numéros de port TCP et UDP .

TCPView est un outil graphique qui vous montrera le service, le PID et la connexion TCP (locale et distante):

Utilisez le gestionnaire de tâches pour afficher les colonnes PID de chaque processus dans la liste des processus. Ensuite, exécutez netstat -anopour afficher les connexions actives et le PID associé (= identifiant de processus).

L'utilitaire NirSoft CurrPorts fait tout ce que vous voulez, y compris le filtrage et l' la liste des services d'un processus.

En fait, le seul problème est de savoir comment choisir parmi le nombre énorme de colonnes d'informations qu'il peut potentiellement afficher.

Comme mentionné précédemment, trouver le PID svchost du processus svchost donné et / ou utiliser des applications 3ème partie comme: Currports, ProcessExplorervous aidera à identifier les services dans le cadre du processus donné (svchost.exe ou quoi que ce soit d' autre). En outre, Svchost Viewer ou Svchost Analyzer affichera également strictement les informations svchost.

Je voulais également ajouter: des versions plus récentes du gestionnaire de tâches Windows intégré vous montreront au moins quelques informations limitées sur les services exécutés sous svchost (pas besoin d'installer quoi que ce soit):

Tout d'abord, choisissez le processus svchost sous Processus.
Cliquez avec le bouton droit sur le processus svchost donné et choisissez "Aller aux services".
Il ira directement à l'onglet services et mettra en évidence les services donnés exécutés dans le cadre de ce processus svchost.

Une autre méthode:
Utilisation de l'invite CMD administrateur:
tasklist /svc /fi "IMAGENAME eq svchost.exe" > svchost_services.txt
notepad svchost_services.txt
C'est également un moyen rapide d'obtenir le PID du svchost / service donné en question.