Инструкция годная для Win7 дается из предположения, что аналогичный функционал есть у Win10. Прошу оставить комментарий, если опробуете инструкцию.
С помощью редактора групповой политики нужно активировать аудит.
Конфигурация компьютера -> Конфигурация Windows -> Локальные политики -> Политика аудита
Включить Аудит доступа к объектам, параметры: как Успех, так и Отказ
Перегрузить компьютер
В журнале аудита можно увидеть следующую запись (при запуске соответствующего процесса):
Платформа фильтрации Windows разрешила подключение.
Сведения о приложении:
Идентификатор процесса: 4396
Имя приложения: \device\harddiskvolume1\program\server.exe
Сведения о сети:
Направление: Исходящие
Адрес источника: 127.0.0.1
Порт источника: 65030
Адрес назначения: 127.0.0.1
Порт назначения: 5581
Протокол: 6
Сведения о фильтре:
Код выполнения фильтра: 0
Имя уровня: Подключить
Код выполнения уровня: 48
Как понятно из содержимого, в записях журнала "Безопасность" можно найти и процесс, и адрес используемого порта.
Приведу пример скрипта Powershell для поиска записей журнала "Безопасность" о приложениях, использующих требуемый порт, за последние 15 минут.
Сделан на базе готового кода 1 и выводит найденные сведения в консоль.
Поиск осуществляется по EventId = 5156.
Естественно, нужны права Администратора при обращении к журналу "Безопасность".
#Request event log records with 15 minutes old
$Events = Get-WinEvent -LogName "Security" -FilterXPath "*[System[EventID=5156 and TimeCreated[timediff(@SystemTime) <= 900000]]]"
ForEach ($Event in $Events) {
# Convert the event to XML
$eventXML = [xml]$Event.ToXml()
# Iterate through each one of the XML message properties
For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) {
$name=$eventXML.Event.EventData.Data[$i].name
if ($name -match "Application") {
$App=$eventXML.Event.EventData.Data[$i].'#text'
$SourceAddress=""
$DestPort=""
}
if ($name -match "SourceAddress") {$SourceAddress=$eventXML.Event.EventData.Data[$i].'#text'}
if ($name -match "DestPort") {
$DestPort=$eventXML.Event.EventData.Data[$i].'#text'
if ($DestPort -match "3000") {
Write-Output $App
Write-Output $SourceAddress
Write-Output $DestPort
Write-Output $Event.TimeCreated
Write-Output "======"
}
}
}
}
UAC
,Defender
,Kaspersky
?UAC
не высвечивается,Defender
отключен, других антивирусов не имею