VB.NET/WIN32/WMI 监控打开网络连接的最佳方式

Question

我正在开发自己的反恶意软件应用程序。我已经成功地实现了文件系统和进程监控，现在我正在寻找“某种防火墙功能”。我已经做了一些研究并找到了 iphlpapi.dll，netstat -o 解析。

确切地说，当新的 IP(TCP/UDP/其他)连接打开时，我想接收带有以下数据的事件。

• 远程 IP 地址
• 协议(protocol)(TCP/UDP/...)
• 港口
• 打开连接的进程ID

我不想运行仍然检查 netstat 输出的计时器，因为它无效。当检测到与恶意 IP 的连接时，我需要快速暂停进程(我知道如何暂停进程)。

Answer 1

我怀疑除了编写驱动程序之外，唯一的方法就是 Windows 事件跟踪 (ETW)。检查 .NET System.Diagnostics.Eventing

关于 ETW https://msdn.microsoft.com/en-us/library/windows/desktop/aa363668(v=vs.85).aspx

在 ETW 中，您可以从以下三个提供商开始:

• Microsoft-Windows-NDIS-PacketCapture
• 微软-Windows-TCPIP
• Microsoft-Windows-网络相关性