Кто тратит интернет на вашем компьютере: поиск фоновых подключений и запрет через брандмауэр

Порядок проверки в двух словах

1. Счётчик трафика по программам за 30 дней.
2. Текущие соединения в «Мониторе ресурсов».
3. Расшифровка svchost.exe и адресов.
4. Короткие соединения через netstat, PowerShell или TCPView.
5. Отключение функций в самой программе.
6. Правило блокировки в брандмауэре.

1. Счётчик трафика: кто главный потребитель

Самый быстрый способ найти подозреваемого это встроенная статистика Windows. В Windows 11 откройте «Параметры», раздел «Сеть и Интернет» и пункт «Использование данных» (тот же экран есть в «Дополнительных сетевых параметрах»). В Windows 10 путь почти такой же: «Параметры», «Сеть и Интернет», «Использование данных».

Список отсортирован по объёму. Вверху выбирается сеть и период: сутки, неделя или 30 дней. Детализации по адресам нет, зато сразу видно, кто выделяется. Типичная находка это клиент облачного хранилища или мессенджер с автозагрузкой медиа, который за месяц прокачал больше, чем браузер.

2. «Монитор ресурсов»: что происходит прямо сейчас

Нажмите Win+R, наберите resmon и перейдите на вкладку «Сеть». В блоке «Процессы с сетевой активностью» видно, сколько каждая программа отправляет и получает, а в списке «TCP-подключения» указано, куда она подключена.

Практичный приём: поставьте галочку только у нужного процесса, и остальные списки покажут лишь его активность. Это выручает, если у вас работает VPN-клиент, который заполняет таблицу десятками соединений со своим сервером.

Что читать в таблице:

Порт 443 одинаково используют браузер, лаунчер и телеметрия, поэтому по нему ничего не понять. Иногда встречаются 80 (HTTP) и 53 (DNS).

3. Расшифровка: svchost.exe и цифровые адреса

svchost.exe это оболочка для системных служб Windows, их внутри может быть несколько. Чтобы узнать, какие именно, возьмите номер из столбца «ИД процесса» и выполните в командной строке:

tasklist /svc /fi "PID eq 1234"

Описание найденных служб есть в оснастке services.msc.

Адрес превращается в имя командой PowerShell Resolve-DnsName <адрес> -Type PTR. При включённом VPN ответ иногда не приходит, тогда добавьте -Server 1.1.1.1. Не делайте поспешных выводов по домену: имена вроде cloudfront.net, akamaitechnologies.com или 1e100.net принадлежат сетям доставки контента и Google, через которые работают тысячи сервисов. Домен показывает площадку, а не того, кто к ней обратился, поэтому ориентироваться нужно прежде всего на программу. Кому принадлежит сеть, подскажет whois, например на сайте RIPE NCC.

Ещё один источник данных это кеш DNS: ipconfig /displaydns или Get-DnsClientCache | Select-Object Entry, Data в PowerShell. Там видны все недавно запрошенные имена, включая служебные адреса, которые вы не открывали. В кеше хранятся и ваши личные сайты, так что делиться этим списком не стоит.

4. Ловим короткие соединения

Некоторые программы подключаются на пару секунд и исчезают. Чтобы их заметить, нужен постоянно обновляемый список.

• netstat. В командной строке от администратора: netstat -abno 5. Обновление каждые 5 секунд, остановка Ctrl+C. Ключу -b, который выводит имя программы, нужны повышенные права.
• PowerShell. Get-NetTCPConnection -State Established с выводом имени процесса через Get-Process -Id $_.OwningProcess даёт аккуратную таблицу, которую удобно сортировать.
• TCPView. Утилита из набора Sysinternals от Microsoft, запускается без установки. Обновляет список раз в секунду, новые точки подсвечивает зелёным, удалённые красным, изменившие состояние жёлтым. Правым щелчком можно закрыть соединение. В комплекте есть консольный Tcpvcon.

5. Сначала настройки самой программы

Запрет в брандмауэре это грубый инструмент: программа может начать сбоить или выдавать ошибки. Поэтому сначала загляните в её настройки:

• облачные хранилища позволяют приостановить синхронизацию или ограничить скорость;
• в Steam в разделе загрузок можно запретить скачивание во время игры и задать окно для обновлений;
• браузеры отключают отправку диагностических данных в разделе конфиденциальности, при этом обновления и защиту от опасных сайтов оставьте включёнными;
• мессенджеры держат постоянное соединение по своей природе, здесь трогать нечего.

6. Запрет в брандмауэре Защитника Windows

Исходящие подключения брандмауэр Windows по умолчанию пропускает, если нет правила, которое их запрещает. Создаём такое правило:

1. Win+R, команда wf.msc.
2. «Правила для исходящего подключения», затем «Создать правило».
3. «Для программы», указываем путь к exe-файлу.
4. «Блокировать подключение», выбираем профили сети, задаём имя.

Тот же результат в PowerShell от администратора:

New-NetFirewallRule -DisplayName "Block MyApp" -Direction Outbound -Program "C:\Program Files\MyApp\myapp.exe" -Action Block

Отключается правило через Disable-NetFirewallRule, удаляется через Remove-NetFirewallRule с тем же именем. Давайте правилам понятные названия: через месяц вы вряд ли вспомните, почему перестала работать какая-то функция.

Как убедиться, что запрет работает

Правило создано, но лучше проверить, что программа действительно осталась без сети:

1. Запустите заблокированную программу и выполните в ней действие, которое требует интернета, например проверку обновлений.
2. Откройте «Монитор ресурсов» на вкладке «Сеть» и отметьте этот процесс галочкой. Если правило работает, в списке «TCP-подключения» у него не появится установленных соединений.
3. Для надёжности понаблюдайте за процессом пару минут в TCPView: короткие попытки подключения не должны превращаться в установленные соединения.
4. Через несколько дней загляните в счётчик «Использование данных»: расход трафика у этой программы должен остановиться.

Если программа обходит запрет, проверьте путь к exe-файлу в правиле. Некоторые приложения выходят в сеть через отдельный процесс обновления или вспомогательную службу, и для него нужно создать своё правило.

Чего не стоит запрещать

• svchost.exe целиком: пропадут обновления Windows, синхронизация времени и другие службы.
• Античиты и игровые лаунчеры: без связи с сервером многие онлайн-игры не запустятся.
• Обновления браузера и антивируса: это прямая защита системы.

Когда фоновые процессы приведены в порядок, имеет смысл пройтись и по остальным настройкам: см. наш материал об оптимизации Windows, а для CS2 есть отдельный разбор настроек Windows, Steam и NVIDIA.

Если у вас Linux

• ss -tupn выводит TCP- и UDP-соединения с процессами без разрешения имён, -l добавляет порты на приём. Для чужих процессов нужен sudo.
• nethogs показывает скорость по каждой программе в реальном времени.
• ufw в Ubuntu после установки выключен и по умолчанию разрешает исходящий трафик. Он работает с портами и адресами (например, sudo ufw deny out to 203.0.113.10), а не с программами.
• OpenSnitch закрывает именно эту задачу: при первой попытке программы выйти в сеть он спрашивает, разрешить ли это.

Итог

Для большинства случаев хватит двух шагов: счётчик «Использование данных» покажет главного потребителя, а «Монитор ресурсов» подтвердит, что именно он сейчас занимает канал. Дальше решайте вопрос в настройках программы, а брандмауэр оставьте для тех случаев, когда отключить функцию штатно нельзя.

Рекомендуем