¿Hay alguna manera de determinar qué servicio (en svchost.exe) realiza una conexión saliente?

Estoy rehaciendo la configuración de mi firewall con políticas más restrictivas y me gustaría determinar la procedencia (y / o el destino) de algunas conexiones salientes.

Tengo un problema porque provienen de svchost.exe y van a proveedores de entrega de aplicaciones / contenido web, o similar:

5 IP in range: 82.96.58.0 - 82.96.58.255      --> Akamai Technologies         akamaitechnologies.com
3 IP in range: 93.150.110.0 - 93.158.111.255  --> Akamai Technologies         akamaitechnologies.com
2 IP in range: 87.248.194.0 - 87.248.223.255  --> LLNW Europe 2               llnw.net
205.234.175.175                               --> CacheNetworks, Inc.         cachefly.net
188.121.36.239                                --> Go Daddy Netherlands B.V.   secureserver.net

Entonces, ¿es posible saber qué servicio hace una conexión en particular? ¿O cuál es su recomendación sobre las reglas aplicadas a estas?

(Comodo Firewall y Windows 7)

Actualizar:

netstat -anoy tasklist /svcayúdame un poco, pero son muchos servicios en un svchost.exe, por lo que sigue siendo un problema. además, los nombres de servicio devueltos por "tasklist / svc" no son fáciles de leer.

(Todas las conexiones son HTTP (puerto 80) pero no creo que sea relevante)

Encontré un método en esta respuesta de Falla del servidor (sobre servicios y uso de memoria) que podría usar para analizar individualmente el uso de servicios de la red (con cualquier herramienta de red)

Divida cada servicio para que se ejecute en su propio proceso SVCHOST.EXE y el servicio que consume los ciclos de la CPU será fácilmente visible en el Administrador de tareas o el Explorador de procesos (se requiere el espacio después de "="):

SC Config Servicename Type= own

Haga esto en una ventana de línea de comandos o póngalo en un script BAT. Se requieren privilegios administrativos y se requiere reiniciar la computadora antes de que surta efecto.

El estado original se puede restaurar mediante:

SC Config Servicename Type= share

SysInternals Process Explorer puede hacer esto por usted.

Abra las propiedades del proceso de la svchost.exeinstancia que está intentando analizar. Haga clic en la pestaña TCP / IP . Haga doble clic en la conexión que desea descubrir para que aparezca un seguimiento de la pila de la conexión. Debería poder rastrear la pila hasta la DLL que implementa el servicio. Aquí hay un extracto del archivo de ayuda sobre el tema de las propiedades del proceso :

TCP / IP:

Todos los puntos finales TCP y UDP activos propiedad del proceso se muestran en esta página.

En Windows XP SP2 y superior, esta página incluye un botón de Pila que abre un cuadro de diálogo que muestra la pila del hilo que abrió el punto final seleccionado en el momento de la apertura. Esto es útil para identificar el propósito de los puntos finales en el proceso del Sistema y en los procesos de Svchost porque la pila incluirá el nombre del controlador o servicio responsable del punto final.

También en la configuración de símbolos

Configurar símbolos: en Windows NT y superior, si desea que Process Explorer resuelva las direcciones para las direcciones de inicio de subprocesos en la pestaña de subprocesos del cuadro de diálogo de propiedades del proceso y la ventana de pila de subprocesos, luego configure los símbolos descargando primero el paquete de herramientas de depuración para Windows desde la web de Microsoft sitio e instalándolo en su directorio predeterminado. Abra el cuadro de diálogo Configurar símbolos y especifique la ruta al dbghelp.dll que se encuentra en el directorio Herramientas de depuración y haga que el motor de símbolos descargue los símbolos a pedido de Microsoft a un directorio en su disco ingresando una cadena de servidor de símbolos para la ruta del símbolo. Por ejemplo, para que los símbolos se descarguen en el directorio c: \ symbols, debe ingresar esta cadena:

srv c: \ symbols http://msdl.microsoft.com/download/symbols

Nota: Es posible que deba ejecutar Process Explorer como administrador para poder ver la pila del hilo.

Sé que esto puede estar desactualizado, pero aún así esta página ocupa un lugar destacado en la búsqueda de "conexiones svchost", por lo que arrojaré mi entrada aquí. Existe una herramienta llamada Svchost Process Analyzer, que puede ayudar: http://www.neuber.com/free/svchost-analyzer/index.html

Trate de usar tasklist /svcy netstato netstat -andesde la línea de comandos.

Esto le mostrará los programas que están usando svchost.exe y los puertos que están siendo. Usando los números de puerto, puede buscar el protocolo que comúnmente usa el número. Consulte la Lista de números de puerto TCP y UDP .

TCPView es una herramienta gráfica que le mostrará el servicio, PID y la conexión TCP (tanto local como remota):

Use el administrador de tareas para ver las columnas PID para cada proceso en la lista de procesos. Luego, ejecute netstat -anopara ver las conexiones activas y el PID asociado (= id del proceso).

La utilidad CurrPorts de NirSoft hace todo lo que desea, incluido el filtrado y la lista de servicios de un proceso.

De hecho, el único problema es cómo elegir entre la enorme cantidad de columnas de información que potencialmente puede mostrar.

Como se ha mencionado, encontrar el PID del proceso svchost svchost dado y / o utilizar 3 ª Parte aplicaciones como: Currports, ProcessExplorerle ayudará a identificar los servicios en el marco del proceso dado (svchost.exe o cualquier otra cosa). Además, Svchost Viewer o Svchost Analyzer también le mostrarán estrictamente la información de svchost.

También quería agregar: las versiones más nuevas del Administrador de tareas integrado de Windows al menos mostrarán información limitada sobre los servicios que se ejecutan en svchost (no es necesario instalar nada):

Primero, elija el proceso svchost en Procesos.
Haga clic con el botón derecho en el proceso svchost dado y seleccione "Ir a los servicios"
. Irá directamente a la pestaña de servicios y resaltará los servicios dados que se ejecutan en ese proceso svchost.

Otro método:
utilizar el indicador CMD del administrador:
tasklist /svc /fi "IMAGENAME eq svchost.exe" > svchost_services.txt
notepad svchost_services.txt
esta también es una forma rápida de obtener el PID de un servicio / svchost determinado en cuestión.