Ports réseau : quel logiciel se connecte à Internet sur votre PC ?
Vous ouvrez un outil réseau et découvrez des dizaines d’adresses inconnues. Avant de fermer toutes les connexions, regardez quel programme les utilise et dans quel état elles se trouvent. Une application parfaitement normale peut discuter avec beaucoup plus de serveurs que prévu.
Une adresse IP et un port ne racontent pas la même chose
L’adresse IP indique une extrémité réseau. Le port aide à distinguer les échanges et les services au sein d’un protocole de transport, comme TCP ou UDP. Les deux sont utiles pour lire une connexion.
Le port distant 443 est courant pour des échanges HTTPS, mais son numéro ne suffit pas à garantir la nature ou la sécurité de ce qui circule. Le port local peut être choisi temporairement par le système. Il n’a pas besoin d’être identique au port distant.
La boucle locale, comme 127.0.0.1, désigne l’appareil lui-même. Une communication entre deux logiciels du PC peut apparaître dans ces outils sans traverser Internet. Notre analyseur IP reconnaît les principales plages spéciales.
Retrouver le programme avec TCPView
TCPView, l’outil de Microsoft Sysinternals, associe les points de terminaison TCP et UDP aux processus qui les utilisent. Vous pouvez y consulter les adresses locales et distantes, les ports et les informations d’état disponibles.
Le tutoriel pour surveiller les connexions des logiciels avec TCPView présente son interface. Commencez par observer une application connue pendant une action simple, par exemple l’ouverture d’une page. Vous aurez un point de comparaison plus utile qu’une capture prise sans contexte.
Ne confondez pas le nom d’un processus avec une preuve d’origine. Si un programme vous paraît suspect, vérifiez aussi son emplacement, son éditeur et sa signature. Un nom familier ne suffit pas à l’authentifier.
Lire les états sans tout assimiler à une connexion entrante
Pour TCP, un état d’écoute comme LISTENING indique qu’un service attend des connexions sur un point de terminaison local. Il ne prouve pas que ce service est accessible depuis Internet. L’adresse d’écoute, le pare-feu, le routeur et le réseau restent à prendre en compte.
ESTABLISHED indique qu’une connexion TCP est établie. TIME_WAIT peut persister après une fermeture dans le fonctionnement normal du protocole. UDP ne propose pas les mêmes états que TCP.
Une IP distante peut appartenir à un hébergeur ou à un réseau de diffusion de contenu utilisé par de nombreux services. Une localisation étrangère ou un nom de serveur inconnu ne suffit pas à conclure à une intrusion.
Une première vue avec netstat
Sans installer d’outil, la commande suivante affiche les connexions, les ports en écoute, les adresses numériques et les identifiants de processus correspondants.
netstat -anoLe PID permet ensuite de retrouver le processus dans le Gestionnaire des tâches. L’affichage reste un relevé à un instant donné ; une connexion très courte peut déjà avoir disparu au moment où vous regardez.
Pour les autres outils de lecture du réseau, vous pouvez consulter le guide des commandes réseau Windows et de leurs usages.
Vérifier une IP sans lui faire dire plus qu’elle ne sait
La recherche WHOIS / RDAP peut donner le réseau auquel une IP publique a été attribuée. Elle n’identifie pas nécessairement l’entreprise qui exploite un site précis sur une infrastructure partagée.
Si vous demandez de l’aide, relevez le programme, l’état, le port et l’heure de l’observation. Masquez les adresses et identifiants personnels dans les captures partagées. Vous obtiendrez un diagnostic plus solide qu’avec une liste d’IP barrées de rouge.
Pour poursuivre, vous pouvez comprendre le rôle de localhost et de 127.0.0.1.
Pour poursuivre, vous pouvez vérifier le trajet avant une redirection de port.