Windows’ta Port Dinleme ve Açık Portları Bulma: Netstat ve TCPView Kullanım Eğitimi

Ağ Üzerinde Açık Kalan Portların Yarattığı Siber Tehdit

Kurumsal ağlarda çalışan bilgisayarlarda veya sunucularda arka planda hangi uygulamaların çalıştığını ve dış dünya ile hangi kapılardan iletişim kurduğunu denetlemek temel siber güvenlik rutinidir. Sisteme sızan bir Truva atı (Trojan), yetkisiz bir uzaktan erişim yazılımı veya arka kapı (Backdoor), işletim sisteminde dinleme (LISTENING) modunda bir TCP/UDP portu açarak dışarıdan gelecek saldırı komutlarını bekler. Sistem yöneticisinin ağ trafiğini analiz edebilmesi için üçüncü taraf yazılımlara ihtiyaç duymadan doğrudan yerleşik Netstat aracını ve Sysinternals TCPView konsolunu kullanabilmesi gerekir.

TCP Bağlantı Durumları (Connection States) Ne Anlama Gelir?

Port analizi yapılırken karşılaşılan terimlerin teknik anlamları:

• LISTENING (Dinliyor): Port açıktır ve dışarıdan veya yerel ağdan gelecek bağlantı isteklerini kabul etmek üzere beklemektedir.
• ESTABLISHED (Bağlantı Kuruldu): İki bilgisayar arasında el sıkışma tamamlanmış, aktif veri aktarımı gerçekleşmektedir.
• CLOSE_WAIT / TIME_WAIT: Bağlantının sonlandığı ve soketin kapanmak üzere bekletildiği durumdur.
• SYN_SENT: Bilgisayarın karşı tarafa bağlantı açmak için ilk paketi yolladığını gösterir. Sürekli bu durumda kalması bir bağlantı engeline işaret eder.

1. Komut İstemi ile Netstat Parametreleri Kullanımı

Yönetici olarak açılan Komut İstemi (CMD) üzerinden şu komut girilir:

netstat -ano

Parametrelerin işlevleri: -a tüm aktif bağlantıları ve dinlenen portları listeler, -n adresleri ve portları isim yerine sayısal gösterir, -o her bağlantıyı açan sürecin Süreç Kimliğini (PID – Process ID) en sağ sütunda listeler.

2. Şüpheli Bir Portun Hangi Programa Ait Olduğunu Bulma

Örneğin listede 0.0.0.0:4444 LISTENING PID: 3420 şeklinde yabancı bir satır görüldü:

1. Görev Yöneticisi açılır ve Ayrıntılar (Details) sekmesine geçilir.
2. PID sütununa göre sıralama yapılarak 3420 numaralı süreç bulunur.
3. Sürecin adına bakılır (Örn: svchost.exe kisvesi altında gizlenmiş sahte bir yazılım).
4. Sağ tıklanıp ‘Dosya konumunu aç’ denilerek zararlı dosyanın diskin hangi dizininde çalıştığı anında ifşa edilir.

Doğrudan komut satırından program adını görmek için:

netstat -anb

-b parametresi her portun alt satırına onu çalıştıran .exe dosyasının adını doğrudan yazar.

3. Canlı Grafiksel İzleme: Microsoft Sysinternals TCPView

Komut satırı yerine anlık renkli takip için Microsoft’un resmi aracı TCPView kullanılır. Yeni açılan bağlantılar anında yeşil, kapananlar kırmızı renkle vurgulanır. Şüpheli bir bağlantıya sağ tıklanarak ‘Close Connection’ ile oturum anında düşürülebilir veya ‘End Process’ ile virüs süreci öldürülebilir.