Surveiller les sites Web et les connexions Internet cachés

Vous pouvez être pratiquement certain que votre ordinateur est connecté au serveur hébergeant mon site Web lorsque vous lisez cet article, mais en plus des connexions évidentes aux sites ouverts dans votre navigateur Web, votre ordinateur peut se connecter à une foule d'autres serveurs. qui ne sont pas visibles.

La plupart du temps, vous n'allez vraiment pas vouloir faire quoi que ce soit écrit dans cet article car cela nécessite de regarder beaucoup de trucs techniques, mais si vous pensez qu'il y a un programme sur votre ordinateur qui ne devrait pas être là pour communiquer secrètement sur Internet, les méthodes ci-dessous vous aideront à identifier tout ce qui est inhabituel.

Il est à noter qu'un ordinateur exécutant un système d'exploitation tel que Windows avec quelques programmes installés finira par établir de nombreuses connexions avec des serveurs extérieurs par défaut. Par exemple, sur mon ordinateur Windows 10 après un redémarrage et sans aucun programme, plusieurs connexions sont établies par Windows lui-même, notamment OneDrive, Cortana et même la recherche sur le Bureau. Lisez mon article sur la sécurisation de Windows 10 pour savoir comment empêcher Windows 10 de communiquer trop souvent avec les serveurs Microsoft..

Vous pouvez surveiller les connexions de votre ordinateur à Internet de trois manières: via l'invite de commande, à l'aide de Resource Monitor ou via des programmes tiers. Je vais mentionner l'invite de commande en dernier car c'est le plus technique et le plus difficile à déchiffrer.

Moniteur de ressources

Le moyen le plus simple de vérifier toutes les connexions établies par votre ordinateur consiste à utiliser Moniteur de ressources. Pour l'ouvrir, vous devez cliquer sur Démarrer puis taper moniteur de ressources. Vous verrez plusieurs onglets en haut et celui sur lequel nous voulons cliquer est Réseau.

Sur cet onglet, vous verrez plusieurs sections avec différents types de données: Processus avec activité réseau, Activité de réseau, Connexions TCP et Ports d'écoute.

Toutes les données répertoriées dans ces écrans sont mises à jour en temps réel. Vous pouvez cliquer sur un en-tête dans n'importe quelle colonne pour trier les données par ordre croissant ou décroissant. dans le Processus avec activité réseau section, la liste inclut tous les processus qui ont un type d'activité réseau. Vous pourrez également voir la quantité totale de données envoyées et reçues en octets par seconde pour chaque processus. Vous remarquerez qu'il y a une case à cocher vide à côté de chaque processus, qui peut être utilisée comme filtre pour toutes les autres sections..

Par exemple, je ne savais pas quoi nvstreamsvc.exe était, alors je l'ai vérifié et ensuite regardé les données dans les autres sections. Sous Activité du réseau, vous voulez regarder le Adresse champ, qui devrait vous donner une adresse IP ou le nom DNS du serveur distant.

En soi, les informations ici ne vous aideront pas nécessairement à déterminer si quelque chose est bon ou mauvais. Vous devez utiliser des sites Web tiers pour vous aider à identifier le processus. Tout d’abord, si vous ne reconnaissez pas le nom d’un processus, lancez-vous et recherchez-le en utilisant le nom complet, c.-à-d.. nvstreamsvc.exe.

Toujours, cliquez au moins sur les quatre à cinq premiers liens et vous obtiendrez instantanément une bonne idée de la sécurité du programme. Dans mon cas, cela était lié au service de streaming NVIDIA, qui est sûr, mais pas quelque chose dont j'avais besoin. Plus précisément, le processus concerne la diffusion en continu de jeux depuis votre PC vers NVIDIA Shield, ce que je n’ai pas. Malheureusement, lorsque vous installez le pilote NVIDIA, il installe de nombreuses autres fonctionnalités inutiles..

Depuis que ce service fonctionne en arrière-plan, je n'ai jamais su qu'il existait. Il n'apparaissait pas dans le panneau GeForce et j'ai donc supposé que le pilote était installé. Une fois que j'ai réalisé que je n'avais pas besoin de ce service, j'ai pu désinstaller un logiciel NVIDIA et me débarrasser de ce service, qui communiquait tout le temps sur le réseau, même si je ne l'avais jamais utilisé. C’est un exemple de la façon dont l’analyse détaillée de chaque processus peut vous aider non seulement à identifier les logiciels malveillants possibles, mais également à supprimer les services inutiles qui pourraient éventuellement être exploités par des pirates..

Deuxièmement, vous devez rechercher l’adresse IP ou le nom DNS indiqué dans la liste. Adresse champ. Vous pouvez consulter un outil tel que DomainTools, qui vous donnera les informations dont vous avez besoin. Par exemple, sous Activité réseau, j'ai remarqué que le processus steam.exe se connectait à l'adresse IP 208.78.164.10. Quand j'ai branché cela dans l'outil mentionné ci-dessus, j'étais heureux d'apprendre que le domaine est contrôlé par Valve, la société à laquelle appartient Steam..

Si vous voyez qu'une adresse IP se connecte à un serveur en Chine ou en Russie ou à un autre emplacement étrange, vous risquez d'avoir un problème. Googler le processus vous mènera normalement à des articles sur la façon de supprimer le logiciel malveillant.

Programmes tiers

Le Moniteur de ressources est excellent et vous donne beaucoup d’informations, mais il existe d’autres outils qui peuvent vous donner un peu plus d’informations. Les deux outils que je recommande sont TCPView et CurrPorts. Les deux ressemblent beaucoup, à la différence près que CurrPorts vous donne beaucoup plus de données. Voici une capture d'écran de TCPView:

Les lignes qui vous intéressent le plus sont celles qui ont un Etat de ÉTABLI. Vous pouvez cliquer avec le bouton droit sur n’importe quelle ligne pour mettre fin au processus ou fermer la connexion. Voici une capture d'écran de CurrPorts:

Encore une fois, regardez ÉTABLI connexions lors de la navigation dans la liste. Comme vous pouvez le voir dans la barre de défilement en bas, il y a beaucoup plus de colonnes pour chaque processus dans CurrPorts. Vous pouvez vraiment obtenir beaucoup d'informations en utilisant ces programmes.

Ligne de commande

Enfin, il y a la ligne de commande. Nous allons utiliser le netstat commande pour nous donner des informations détaillées sur toutes les connexions réseau actuelles générées dans un fichier TXT. Les informations sont essentiellement un sous-ensemble de ce que vous obtenez de Resource Monitor ou des programmes tiers. Elles ne sont donc utiles que pour les techniciens..

Voici un exemple rapide. Tout d'abord, ouvrez une invite de commande administrateur et tapez la commande suivante:

netstat -abfot 5> c: \ activity.txt

Attendez environ une minute ou deux, puis appuyez sur CTRL + C sur votre clavier pour arrêter la capture. La commande netstat ci-dessus capturera toutes les données de connexion réseau toutes les cinq secondes et les enregistrera dans le fichier texte. le -abfot une partie est un ensemble de paramètres permettant d’obtenir des informations supplémentaires dans le fichier. Voici ce que chaque paramètre signifie, au cas où vous seriez intéressé.

Lorsque vous ouvrez le fichier, vous verrez à peu près les mêmes informations que celles obtenues avec les deux autres méthodes ci-dessus: nom du processus, protocole, numéros de port local et distant, adresse IP / nom DNS distant, état de la connexion, ID du processus, etc..

Encore une fois, toutes ces données sont une première étape pour déterminer si quelque chose de louche se passe ou non. Vous devrez faire beaucoup de recherches sur Google, mais c'est le meilleur moyen de savoir si quelqu'un vous surveille de près ou si un programme malveillant envoie des données de votre ordinateur à un serveur distant. Si vous avez des questions, n'hésitez pas à commenter. Prendre plaisir!