Sola lettura: Mostra informazioni e non modifica nulla.
Per capire quali programmi accettano connessioni dalla rete, elenca le porte in ascolto e il processo che le usa. Ogni porta in ascolto è una porta potenzialmente raggiungibile da altri dispositivi: meno ce ne sono, meno superficie di attacco offre il PC. I comandi sono in sola lettura.
Porte in ascolto (CMD)
netstat -ano | findstr LISTENINGLe colonne mostrano protocollo, indirizzo locale con la porta (dopo i due punti), indirizzo remoto, stato e PID, cioè il numero del processo. Su Windows in italiano lo stato può comparire come IN ASCOLTO: in quel caso usa findstr ASCOLTO.
Porte in ascolto con il processo (PowerShell)
Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess, @{N='Processo';E={(Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue).ProcessName}} | Sort-Object LocalPortQuesta versione aggiunge direttamente il nome del programma accanto al numero di porta.
Da quale programma arriva un PID
tasklist /FI "PID eq 1234"Sostituisci 1234 con il valore della colonna PID o OwningProcess.
Come leggere l’indirizzo locale
127.0.0.1o::1: la porta è raggiungibile solo dal PC stesso. Rischio basso.0.0.0.0o::: la porta accetta connessioni da qualsiasi rete a cui il PC è collegato, salvo blocchi del firewall.
Porte comuni su Windows
- 135 e 49664-49670: servizi RPC di Windows, normali.
- 445: condivisione di file e stampanti (SMB). Non deve mai essere raggiungibile da internet.
- 3389: Desktop remoto. Se non lo usi, disattivalo; se lo usi, proteggilo con una VPN.
- 5040, 7680: servizi di sistema e ottimizzazione recapito degli aggiornamenti.
Un processo sconosciuto in ascolto va verificato prima di chiudere qualsiasi cosa: cerca il nome del programma e controlla dove si trova il file eseguibile con Get-Process -Id 1234 | Select-Object Path. Un eseguibile in una cartella temporanea o con un nome che imita un processo di sistema è un segnale d’allarme.