Сетевая активность программ

Внезапные изменения в скорости вашего интернет-соединения могут быть результатом влияния нескольких различных факторов. Сюда входят такие факторы, как неисправности на стороне интернет-провайдера, неправильная работа модема, роутера и другого сетевого оборудования, а также повышенная сетевая активность программ.

Поэтому, если вы уверены, что проблемы с провайдером и оборудованием исключены, то стоит посмотреть на сам компьютер.

И первое, с чего стоит начать, это проверить интернет-активность программ, то-есть посмотреть какие приложения осуществляют подключение к интернету в данный момент. К нашему счастью, операционная система Windows имеет бесплатный встроенный инструмент, который поможет пользователю отследить повышенную сетевую активность приложений.

Чтобы убедиться в том, что никакие вредоносные приложения в фоновом режиме не используют ваше интернет-соединение, необходимо просто воспользоваться встроенным в операционную систему «Монитором ресурсов» («Windows Resource Manager»). Приступим!

ЗАПУСК МОНИТОРА РЕСУРСОВ . Самый быстрый способ, это нажмите на клавиатуре сочетание клавиш Win + R . Далее перейдите в «Пуск» — «Все программы» — «Стандартные» — «Выполнить», где в поле «Открыть» введите «RESMON» и нажмите кнопку «ОК».

СЕТЕВАЯ АКТИВНОСТЬ

В Мониторе ресурсов откройте вкладку «Сеть», где увидите все процессы с интернет-активностью, а именно:

• название процесса (его исполняемый файл);
• ИД (его идентификационный номер);
• среднее количество байт в секунду полученных / отправленных с момента запуска программы.

Управлять процессом (приостановить / завершить) можно, правой кнопкой мышки вызвав контекстное меню на исполняемом файле необходимого процесса.

Если процесс (исполняемый файл) вам незнаком, при помощи того же контекстного меню и пункта «Поиск в Интернете» вы прочитаете о нём информацию.

Как отследить пользовательскую активность за компьютером

Существует множество причин для отслеживания активности пользователей за компьютером в Windows, включая мониторинг активности ваших детей в Интернете, защиту от несанкционированного доступа, улучшение проблем безопасности и уменьшение внутренних угроз.

Здесь будут обсуждаться варианты отслеживания для различных сред Windows, включая ваш домашний ПК, отслеживание пользователей сети сервера и рабочие группы.

Проверьте свою историю веб-поиска

Если вы хотите узнать, какие сайты кто-то на вашем компьютере посещает (например, ваши дети), вы можете найти эту информацию в истории браузера. Хотя технически подкованные пользователи могут знать, как скрыть эту историю, это не помешает проверить.

1. Используя Google Chrome, нажмите на три точки в верхнем правом углу и нажмите «История». Еще один способ доступа к истории на вашем компьютере в Chrome — использовать сочетание клавиш Ctrl + H.

2. В Firefox перейдите к значку в верхней панели, который похож на изображение ниже, и щелкните по нему.

3. В Microsoft Edge в правом верхнем углу окна найдите и щелкните значок падающей звезды. Затем нажмите на историю.

Windows отслеживает все действия пользователя на вашем компьютере. Первый шаг, чтобы определить, использует ли ваш компьютер кто-то еще, — определить время, когда он использовался.

1. В строке «Поиска» введите «Просмотр событий» и откройте найденный результат, нажав на него.

2. Чтобы развернуть папку «Журналы Windows», нажмите «Просмотр событий» (локальный). Разверните «Журналы Windows», щелкнув по нему дважды, а затем щелкните правой кнопкой мыши «Система».

3. В выпадающем списке щелкните «Фильтр текущего журнала» и откроится выпадающее окно для источников событий. Прокрутите вниз до пункта «Power-Troubleshooter» и установите флажок рядом с ним. Затем нажмите «ОК».

4. Нажав свойства для просмотра событий, Windows покажет вам, когда ваш компьютер был выведен из спящего режима или включен. Если вы не использовали его в это время, кто-то другой был за вашим компьютером.

Как определить подозрительную активность на сервере Windows

Если вы работаете в среде с несколькими серверами Windows, безопасность имеет жизненно важное значение. Аудит и отслеживание действий Windows для выявления подозрительных действий имеет первостепенное значение по многим причинам, включая:

— Распространенность вредоносных программ и вирусов в ОС Windows.

— Некоторые приложения и программы требуют от пользователей отключения некоторых антивирусов и локальных брандмауэров.

— Пользователи часто не отключают сеансы удаленного рабочего стола, что делает систему уязвимой для несанкционированного доступа.

Лучше принимать профилактические меры, чем ждать, пока произойдет инцидент. Вы должны иметь надежный процесс мониторинга безопасности, чтобы увидеть, кто и когда входит на ваш сервер. Это позволит идентифицировать подозрительные события в отчетах о безопасности сервера Windows.

На что обращать внимание в отчетах Windows

Как администратор сервера, нужно следить за несколькими событиями для защиты вашей сети от злонамеренной активности пользователей Windows, в том числе:

— Неудачные или успешные попытки сеансов удаленного рабочего стола.

— Повторные попытки входа в систему приводят к блокировке пароля.

— Изменения политики группы или аудита, которые вы не внесли.

— Успешные или неудачные попытки входа в сеть Windows, членские службы или контроллер домена.

— Удалены или остановлены существующие сервисы или добавлены новые сервисы.

— Настройки реестра изменены.

— Журналы событий очищены.

— Отключен или изменен брандмауэр Windows или правила.

Как уже говорилось выше, события записываются в журнал событий в Windows. Три основных типа собственных журналов:

Как отслеживать активность пользователей в рабочих группах

Рабочие группы организованы сетями компьютеров. Они позволяют пользователям совместно использовать хранилище, файлы и принтеры.

Это удобный способ совместной работы, простой в использовании и администрировании. Однако без надлежащего администрирования вы открываете свою сеть для потенциальных угроз безопасности, которые могут затронуть всех участников рабочей группы.

Ниже приведены советы о том, как отслеживать активность пользователей для повышения безопасности вашей сети.

Использовать политику аудита Windows

Следуйте приведенным ниже инструкциям, чтобы отслеживать действия участников рабочей группы в вашей сети.

1. Откройте окно выполнить, удерживая нажатой клавишу Windows + R. Введите команду secpol.msc в поле рядом с открыть: и нажмите OK. Это откроет окно локальной политики безопасности.

2. В столбце слева дважды щелкните Параметры безопасности. Затем разверните параметр Локальные политики, щелкнув по нему.

3. Откройте Политика аудита, а затем в меню на правой панели вы увидите множество записей Аудит, для которых установлено значение Нет аудита.

4. Откройте первую запись. На вкладке «Локальные параметры безопасности» выберите «Успешно и неудачно» в разделе «Аудит этих попыток». Затем нажмите «Применить» и «ОК».

Повторите шаги выше для всех записей, чтобы отслеживать активность пользователей в рабочих группах. Помните, что все компьютеры в вашей рабочей группе должны быть надлежащим образом защищены. Если один компьютер заражается, все остальные, подключенные к той же сети, подвергаются риску.

Программы Keylogger отслеживают активность клавиатуры и ведут журнал всего набранного. Они представляют собой эффективный способ отслеживания активности пользователей Windows, чтобы определить, не вмешивался ли кто-либо в вашу конфиденциальность.

Большинство людей, которые используют программы кейлоггера, делают это по злонамеренным причинам. Из-за этого ваша антивирусная программа, скорее всего, поместит его в карантин. Поэтому вам нужно будет удалить его из карантина, чтобы воспользоваться им.

Мониторинг сети с использование утилиты TCPView и netstat

Данная статья будет, в какой-то мере, посвящена безопасности. У меня недавно возникла мысль, а как проверить, какие приложение используют интернет соединение, куда может утекать трафик, через какие адреса идет соединение и многое другое. Есть пользователи, которые также задаются этим вопросом.

Допустим у вас есть точка доступа, к которой подключены только вы, но вы замечаете, что скорость соединения какая-то низкая, звоните провайдеру, они отмечают, что все нормально или что-то подобное. А вдруг к вашей сети кто-то подключен? Можно попробовать с помощью методов из этой статьи узнать, какие программы, которые требуют Интернет-соединения он использует. А вообще, вы можете использовать эти методы, как душе угодно.

Ну что, давайте анализировать?

Команда netstat для анализа сетевой активности

Этот способ без использования всяких программ, нам лишь понадобится командная строка. В Windows есть специальная утилита netstat, которая занимается анализом сетей, давайте использовать ее.

Желательно, чтобы командная строка была запущена от имени администратора. В Windows 10 можно нажать на меню Пуск правой кнопкой мыши и выбрать соответствующий пункт.

В командной строке вводим команду netstat и видим много интересной информации:

Мы видим соединения, в том числе, их порты, адреса, соединения активные и ожидающиеся. Это конечно круто, но нам этого мало. Нам бы узнать, какая программа использует сеть, для этого вместе с командной netstat можно использовать параметр –b, тогда команда будет выглядеть так:

Теперь в квадратных скобочках будет видна утилита, которая пользуется интернетом.

Это не единственный параметр в этой команде, для отображения полного списка введите команду netstat –h.

Дальше можно просто использовать несколько команд для получения необходимой информации.

Но, как показывает практика, многие утилиты командной строки не дают той информации, которой хотелось бы видеть, да и не так это удобно. В качестве альтернативы мы будем использовать стороннее программное обеспечение – TCPView.

Мониторинг сетевой активности с помощью TCPView

Скачать программу можно отсюда. Ее даже не нужно устанавливать вы просто ее распаковываете и запускаете утилиту. Также она бесплатная, но не поддерживает русский язык, но этого особо и не нужно, из этой статьи вы поймете, как ей пользоваться.

Итак, утилита TCPView занимается мониторингом сетей и показывает в виде списка все подключенные к сети программы, порты, адреса и соединения.

В принципе тут все предельно ясно, но некоторые пункты программы я поясню:

• Столбец Process, ясное дело, показывает название программы или процесса.
• Столбец PID указывает на идентификатор подключенного к сети процесса.
• Столбец Protocol указывает на протокол процесса.
• Столбец Local adress – локальный адрес процесса данного компьютера.
• Столбец Local port – локальный порт.
• Столбец Remote adress указывает на адрес, к которому подключена программа.
• Столбец State – указывает на состояние соединения.
• Там, где указано Sent Packets и Rcvd Packets указывает на отправленное и полученное количество пакетов, тоже самое и со столбцами Bytes.

Еще с помощью программы можно нажать на процесс правой кнопкой мыши и завершить его, либо посмотреть, где он находится.

Названия адреса, как показано на изображении ниже можно преобразовать в локальный адрес, для этого нужно нажать горячие клавиши Ctrl+R.

С другими параметрами тоже произойдет изменение – с протоколами и доменами. Если вы увидите строки разного цвета, например, зеленого, то это означает запуск нового соединения, если покажется красный цвет, то соединение завершено.

Вот и все основные настройки программы, там еще есть мелки параметры, типа настройки шрифта и сохранения списка соединения. Если вам понравилась эта программа, то обязательно используйте ее. Опытные пользователи точно найдут для каких целей применить ее.