💭 Jeremys Brain

tcpview-windows

2 min read

Kurzer Beitrag: TCPView (Windows / Sysinternals)

Kurzüberblick

TCPView ist ein leichtgewichtiges Sysinternals-Tool für Windows zur Echtzeit-Analyse von TCP- und UDP-Endpunkten. Es zeigt pro Prozess lokale/remote Adressen, Ports, Verbindungszustände und PIDs und ermöglicht direkte Aktionen wie Verbindungsabbruch oder Prozessbeendigung.

Bezug und Ausführung

  • Quelle: Microsoft Sysinternals (offizielle Website, signiert).
  • Bereitstellung: Portable EXE, kein Installer erforderlich.
  • Empfehlung: Als Administrator starten, um alle Prozesse und Aktionen zu sehen.

Wichtige Funktionen

  • Live-Ansicht aller TCP/UDP-Verbindungen, inkl. Listening-Sockets.
  • Per-Prozess-Zuordnung von Endpunkten (PID, Prozessname, Pfad).
  • Aktionen per Rechtsklick:
    • Close Connection (nur TCP) für selektierte Sockets.
    • End Process/Tree für auffällige Prozesse.
    • Properties, Copy, Export/Save.
  • DNS-Auflösung umschaltbar (Resolve Addresses) zur Performance-Steuerung.
  • Aktualisierungsintervall anpassbar; Pausieren der Ansicht möglich.
  • Optionale Anzeige nicht verbundener Endpunkte (z. B. UDP, LISTEN).

Farbkodierung (Standard)

  • Grün: Neu erkannte Endpunkte.
  • Gelb: Statusänderungen (z. B. ESTABLISHED → CLOSE_WAIT).
  • Rot: Geschlossene/entfernte Endpunkte.

Spalten und Interpretation

  • Process: Prozessname und Pfad (vollständig im Eigenschaften-Dialog).
  • PID: Zuordnung zu Windows-Prozess (für Korrelation mit Task Manager/WMI).
  • Protocol: TCP/UDP.
  • Local Address/Port: Bindende Schnittstelle und Port.
  • Remote Address/Port: Gegenstelle (Hostname/IPv4/IPv6).
  • State (TCP): LISTEN, SYN_SENT, ESTABLISHED, TIME_WAIT, CLOSE_WAIT, etc.

Typische Anwendungsfälle

  • Port-Konflikte identifizieren (welcher Prozess hält Port X?).
  • Unerwünschte ausgehende Verbindungen erkennen und terminieren.
  • Forensik/Incident Response: Mapping von Prozessen zu C2/externen IPs.
  • Performance/Debugging: Verbundenheitsdichte und Zustandswechsel beobachten.

Praxis-Tipps

  • DNS-Auflösung deaktivieren, wenn viele Verbindungen auftreten (geringerer Overhead).
  • Nach Port, Prozess oder Remote-Endpoint sortieren und gruppiert analysieren.
  • Export vor Eingriffen speichern, um einen Zustand zu dokumentieren.
  • Verbindungen gezielt schließen, bevor ein Prozess hart beendet wird.

Vergleich zu netstat

  • TCPView: GUI, Echtzeit-Updates, per-Prozess-Aktionen.
  • netstat: Konsolenbasiert, Snapshots, Skriptbar.
  • Beispiel:
netstat -ano

Grenzen

  • Kein Paket-Sniffing oder Inhaltseinsicht (kein Ersatz für Wireshark).
  • UDP hat keinen TCP-ähnlichen Zustandsautomat; Sicht ist eingeschränkt.
  • Für Kernel-/Treiber-Level Telemetrie sind ETW/Advanced Tools erforderlich.

Sicherheit und Berechtigungen

  • Für vollständige Sicht und wirksames Schließen/Beenden Admin-Rechte nutzen.
  • Eingriffe (Close/Kill) können Dienste stören; Änderungen kontrolliert durchführen.
  • Signaturen/Hashes der Binärdatei prüfen, wenn aus Offline-Quellen bezogen.

tagsWindowsSysinternalsTCPViewNetzwerkNetstatForensikIncidentResponseTroubleshootingSecurityOps

Brain-Overview

Graph View