Como descobrir quais programas estão usando a Internet no Windows 11

setembro 12, 2026 admin Redes, Sistema Operacional, Windows 11 0

Como descobrir quais programas estão usando a Internet no Windows 11 com Netstat, PID, PowerShell e Monitor de Recursos
Descubra quais programas e processos estão utilizando sua conexão no Windows 11 usando Netstat, PID, PowerShell, Gerenciador de Tarefas e Monitor de Recursos.
72 / 100
Desenvolvido por Rank Math SEO
Pontuação de SEO

Sua Internet parece estar sendo utilizada mesmo quando nenhum programa está aparentemente aberto?

O Windows 11 pode manter dezenas de processos trabalhando em segundo plano. Navegadores, sincronizadores de arquivos, serviços do Windows, programas de atualização, launchers, aplicativos de comunicação, antivírus e outros softwares podem criar conexões de rede sem manter uma janela visível na tela.

Isso não significa automaticamente que existe algo errado.

O Windows moderno depende constantemente da rede.

O problema começa quando precisamos responder perguntas como:

Qual programa está conectado à Internet neste momento?

Para qual endereço ele está conectado?

Qual processo abriu determinada conexão?

O que significa ESTABLISHED, LISTENING ou TIME_WAIT?

Como transformar um número PID no nome do programa?

Uma conexão desconhecida significa vírus?

É justamente isso que vamos investigar neste tutorial.

Vamos utilizar principalmente ferramentas que já existem no próprio Windows 11:

  • Gerenciador de Tarefas;
  • Monitor de Recursos;
  • netstat;
  • tasklist;
  • PID;
  • PowerShell;
  • TCP;
  • UDP;
  • portas locais e remotas.

O objetivo não é simplesmente mostrar uma lista enorme de conexões.

Vamos aprender a interpretá-la.

Primeiro: um programa pode usar Internet sem aparecer na tela?

Sim.

Fechar a janela de um aplicativo nem sempre encerra todos os seus processos.

Além disso, muitos componentes trabalham em segundo plano.

Alguns exemplos comuns incluem:

  • sincronização em nuvem;
  • Windows Update;
  • atualização de aplicativos;
  • antivírus;
  • serviços do sistema;
  • navegadores;
  • programas de comunicação;
  • launchers;
  • softwares de impressora;
  • aplicativos da Microsoft Store;
  • ferramentas de acesso remoto.

Portanto, observar apenas a barra de tarefas não mostra tudo que está utilizando a rede.

Precisamos observar os processos.

Rede não significa necessariamente Internet

Essa distinção será importante durante todo o artigo.

Um processo pode abrir uma conexão de rede para outro dispositivo dentro da sua própria rede local.

Por exemplo:

192.168.1.50

pode representar:

  • impressora;
  • computador;
  • NAS;
  • câmera;
  • roteador;
  • servidor local.

Já outro endereço pode estar na Internet.

Portanto:

conexão de rede ≠ obrigatoriamente conexão com a Internet.

O netstat mostra informações de rede.

Cabe a nós interpretar o destino.

Método 1 — Comece pelo Gerenciador de Tarefas

Antes de abrir o Terminal, podemos realizar uma investigação simples.

Pressione:

Ctrl + Shift + Esc

O Gerenciador de Tarefas será aberto.

Observe os processos e as colunas disponíveis.

Dependendo da visualização e versão do Windows, você poderá acompanhar recursos como:

  • CPU;
  • memória;
  • disco;
  • rede.

A coluna relacionada à rede ajuda a identificar processos que estão transferindo dados naquele momento.

Se um aplicativo aparece consumindo bastante rede, já temos uma primeira pista.

O Gerenciador de Tarefas não mostra toda a história

Imagine que um programa abriu uma conexão TCP, trocou alguns dados e agora mantém a sessão aberta praticamente sem tráfego.

O consumo instantâneo pode aparecer como:

0 Mbps

mesmo existindo uma conexão estabelecida.

Isso acontece porque:

conexão aberta

e:

transferência intensa de dados

são coisas diferentes.

É justamente por isso que precisamos de outras ferramentas.

Método 2 — Monitor de Recursos

O Windows possui uma ferramenta muito útil chamada:

Monitor de Recursos

Pressione:

Windows + R

Digite:

resmon

Pressione Enter.

Abra a guia:

Rede

Aqui podemos observar informações mais detalhadas.

Dependendo da atividade do computador, aparecem seções relacionadas a:

  • processos com atividade de rede;
  • atividade da rede;
  • conexões TCP;
  • portas de escuta.

Essa tela já consegue responder perguntas que o Gerenciador de Tarefas sozinho não responde tão facilmente.

Processos com atividade de rede

Na área de processos, podemos encontrar programas e serviços que estão movimentando dados.

Você poderá observar:

  • nome da imagem;
  • PID;
  • envio;
  • recebimento;
  • total.

O PID será especialmente importante.

PID significa:

Process Identifier

ou:

identificador de processo.

É um número atribuído a um processo enquanto ele está em execução.

Imagine:

chrome.exe     PID 8420

e:

OneDrive.exe   PID 11324

Os números são apenas exemplos.

Eles podem mudar quando o programa é fechado e aberto novamente.

Portanto, PID não é um identificador permanente de um aplicativo.

Por que precisamos entender PID?

Porque ferramentas de rede frequentemente mostram números de processos.

Imagine que encontramos:

PID 8420

associado a uma conexão.

O número sozinho não ajuda muito.

Precisamos perguntar:

quem é o processo 8420?

É aí que começamos a relacionar informações.

Método 3 — Conhecendo o Netstat

Abra o Terminal do Windows.

Digite:

netstat

e pressione Enter.

Você verá uma lista de conexões.

Dependendo do estado do computador, podem aparecer várias linhas.

Algo conceitualmente semelhante a:

Proto  Endereço local        Endereço externo       Estado
TCP    192.168.1.10:52144    203.0.113.20:443       ESTABLISHED

Os endereços utilizados aqui são apenas exemplos.

Agora precisamos aprender a ler cada coluna.

O que significa Proto?

A primeira coluna indica o protocolo.

Normalmente encontraremos:

TCP

ou, com outros parâmetros:

UDP

TCP e UDP possuem comportamentos diferentes.

Para este tutorial, o importante inicialmente é entender que não devemos esperar que uma conexão UDP apareça exatamente da mesma forma que uma conexão TCP.

O que é Endereço Local?

Imagine:

192.168.1.10:52144

Podemos dividir isso em duas partes:

192.168.1.10

é o endereço IP local utilizado pelo computador.

E:

52144

é a porta local utilizada naquela comunicação.

Em muitas conexões iniciadas pelo computador, o Windows seleciona uma porta dinâmica para a sessão.

Portanto, não se assuste ao encontrar números altos e diferentes.

O que é Endereço Externo?

Agora imagine:

203.0.113.20:443

O primeiro elemento representa o endereço remoto.

O segundo representa a porta remota.

Neste exemplo:

443

normalmente está associada a HTTPS.

Mas existe um cuidado importante:

porta 443 não identifica sozinha qual site ou serviço está sendo utilizado.

Muitos serviços diferentes utilizam HTTPS.

Portanto, ver uma conexão para porta 443 não significa automaticamente que sabemos qual aplicação ou conteúdo está por trás dela.

O que significa ESTABLISHED?

Quando encontramos:

ESTABLISHED

existe uma conexão TCP estabelecida naquele momento.

Isso significa que os dois lados concluíram o estabelecimento da sessão TCP.

Mas não significa necessariamente que existe grande transferência de dados naquele instante.

Uma conexão pode permanecer estabelecida aguardando novas informações.

O que significa LISTENING?

Outro estado muito importante é:

LISTENING

Ele indica que existe um processo aguardando conexões em determinada porta TCP local.

Isso não significa automaticamente:

“alguém está conectado ao meu computador.”

Significa que existe um serviço ou programa preparado para receber conexões naquele endereço/porta.

Precisamos descobrir:

  • qual processo abriu a porta;
  • em qual endereço ela está vinculada;
  • qual serviço utiliza essa porta;
  • se existe acesso através do firewall;
  • se ela é esperada naquele computador.

LISTENING não significa porta aberta para toda a Internet

Esse é um erro bastante comum.

Imagine:

127.0.0.1:5000 LISTENING

O endereço:

127.0.0.1

representa loopback.

Uma aplicação escutando apenas nesse endereço está trabalhando localmente.

É uma situação diferente de um serviço vinculado a:

0.0.0.0

ou a um endereço da interface de rede.

E mesmo uma porta escutando em uma interface não significa automaticamente que ela esteja acessível pela Internet.

Ainda existem fatores como:

  • Firewall do Windows;
  • firewall de terceiros;
  • roteador;
  • NAT;
  • regras de encaminhamento de portas;
  • perfil de rede;
  • IPv6;
  • políticas de segurança.

Portanto:

LISTENING não é sinônimo de “hackearam meu computador”.

O que significa TIME_WAIT?

Você provavelmente encontrará várias linhas com:

TIME_WAIT

Esse estado aparece depois do encerramento de determinadas conexões TCP enquanto o sistema mantém temporariamente informações relacionadas à sessão.

Encontrar várias entradas TIME_WAIT pode ser perfeitamente normal.

Navegadores e aplicativos modernos criam muitas conexões.

Não tente “remover TIME_WAIT” apenas porque existem muitas linhas.

Primeiro descubra se existe realmente um problema.

O parâmetro -a

Agora execute:

netstat -a

O parâmetro:

-a

mostra todas as conexões TCP ativas e as portas TCP e UDP nas quais o computador está escutando.

A lista pode crescer bastante.

Esse comando é útil para responder:

quais conexões e portas estão presentes neste computador?

Mas ainda falta uma informação fundamental:

qual processo criou cada uma delas?

Netstat -o: mostrando o PID

Execute:

netstat -o

Agora aparecerá uma coluna adicional relacionada ao PID.

Podemos encontrar algo conceitualmente semelhante a:

TCP  192.168.1.10:52144  203.0.113.20:443  ESTABLISHED  8420

O último número:

8420

representa o PID.

Agora temos uma pista muito mais útil.

Sabemos que determinada conexão pertence ao processo:

8420

Mas ainda precisamos descobrir o nome desse processo.

Netstat -ano: um dos comandos mais úteis para diagnóstico

Uma combinação extremamente utilizada é:

netstat -ano

Separando os parâmetros:

-a

mostra conexões e portas de escuta;

-n

exibe endereços e números de portas numericamente;

-o

mostra o PID do processo associado.

O resultado fornece uma visão muito interessante para diagnóstico.

Por que usar -n?

Sem -n, o Windows pode tentar apresentar determinados nomes em vez de manter tudo em formato numérico.

Durante diagnóstico, muitas vezes queremos observar exatamente:

  • IP;
  • porta;
  • estado;
  • PID.

Por isso:

netstat -ano

é uma combinação prática.

Encontramos o PID. E agora?

Imagine que encontramos:

TCP    192.168.1.10:52144    203.0.113.20:443    ESTABLISHED    8420

Precisamos descobrir quem é:

8420

Uma maneira simples é abrir o:

Gerenciador de Tarefas

e procurar o PID correspondente na visualização apropriada, como a guia de detalhes.

Outra possibilidade é utilizar o próprio Terminal.

Descobrindo o programa com Tasklist

Execute:

tasklist /FI "PID eq 8420"

Substitua:

8420

pelo PID encontrado no seu computador.

O resultado poderá mostrar algo semelhante a:

chrome.exe

Agora conseguimos relacionar:

conexão → PID → processo

Essa sequência é fundamental para investigar conexões desconhecidas.

Um exemplo completo

Imagine que executamos:

netstat -ano

e encontramos:

TCP    192.168.0.25:53042    198.51.100.40:443    ESTABLISHED    12560

Primeiro identificamos:

Protocolo: TCP

IP local: 192.168.0.25

Porta local: 53042

Destino: 198.51.100.40

Porta remota: 443

Estado: ESTABLISHED

PID: 12560

Agora executamos:

tasklist /FI "PID eq 12560"

Suponha que o resultado mostre um navegador.

Agora sabemos que a conexão está associada àquele processo.

Isso ainda não significa que sabemos exatamente qual página criou a conexão.

Um navegador moderno pode manter dezenas de processos e conexões simultaneamente para:

  • páginas;
  • extensões;
  • sincronização;
  • serviços internos;
  • publicidade;
  • APIs;
  • armazenamento em nuvem;
  • notificações.

Por isso o diagnóstico precisa continuar quando necessário.

Netstat -b: mostrando o executável associado

Existe outro parâmetro interessante:

netstat -b

Ele tenta mostrar o executável envolvido na criação de cada conexão ou porta de escuta.

Dependendo das permissões, será necessário executar o Terminal como administrador.

Uma combinação possível é:

netstat -abno

Isso pode gerar uma saída bem maior.

Porém, temos:

  • conexões;
  • endereços numéricos;
  • PID;
  • executável associado.

Para uma investigação manual, pode ser extremamente útil.

Netstat -b pode demorar mais

Não estranhe se:

netstat -b

demorar mais que:

netstat -ano

A coleta das informações relacionadas aos executáveis pode exigir processamento adicional.

Para uma verificação rápida, normalmente começo por:

netstat -ano

e investigo apenas os PIDs que chamaram atenção.

Como procurar somente conexões estabelecidas?

Uma saída de netstat -ano pode ser enorme.

Podemos utilizar findstr para filtrar determinadas informações.

Por exemplo:

netstat -ano | findstr ESTABLISHED

Assim vemos somente linhas que contêm:

ESTABLISHED

Isso facilita a investigação das conexões TCP atualmente estabelecidas.

Procurando um PID específico

Se você já possui o PID:

8420

pode executar:

netstat -ano | findstr 8420

Agora conseguimos observar as conexões relacionadas àquele número.

Tenha cuidado com filtros muito genéricos, porque findstr procura texto e pode encontrar o mesmo número em outras partes da linha.

Use o resultado como ferramenta de investigação, não como uma associação infalível sem conferir as colunas.

Procurando uma porta específica

Imagine que você quer descobrir quem está utilizando:

8080

Pode começar com:

netstat -ano | findstr :8080

Observe os resultados e identifique o PID.

Depois:

tasklist /FI "PID eq 8420"

Essa técnica é extremamente útil quando um programa informa algo como:

“A porta já está em uso.”

Em vez de reiniciar o computador sem entender a causa, podemos descobrir qual processo está utilizando a porta.

Uma conexão desconhecida é vírus?

Não necessariamente.

Esse é provavelmente o maior erro ao utilizar Netstat.

Um usuário executa:

netstat -ano

vê dezenas de IPs desconhecidos e conclui:

“Meu computador foi invadido.”

Isso não funciona assim.

Aplicativos modernos se conectam a uma grande quantidade de infraestrutura:

  • redes de distribuição de conteúdo;
  • servidores em nuvem;
  • APIs;
  • serviços de autenticação;
  • atualizações;
  • telemetria;
  • sincronização;
  • notificações;
  • publicidade;
  • servidores de segurança.

Muitos endereços serão desconhecidos para o usuário.

O fato de você não reconhecer um IP não torna a conexão maliciosa.

Então como investigar uma conexão realmente suspeita?

Precisamos correlacionar informações.

Pergunte:

Qual é o PID?

↓

Qual é o processo?

↓

Onde está o executável?

↓

O arquivo possui assinatura digital esperada?

↓

O programa deveria estar instalado?

↓

A conexão faz sentido para a função desse programa?

↓

O processo reaparece depois de ser encerrado?

↓

Existe comportamento anormal no computador?

Essa investigação é muito mais confiável do que classificar um endereço IP desconhecido como vírus.

Cuidado com nomes de processos

Encontrar um processo chamado:

svchost.exe

não significa automaticamente que descobrimos qual serviço criou determinada atividade.

O svchost.exe funciona como processo hospedeiro para serviços do Windows.

Precisamos investigar qual serviço está associado ao PID específico.

Podemos utilizar:

tasklist /svc /FI "PID eq 1234"

Substitua 1234 pelo PID real.

O resultado ajuda a relacionar aquele processo aos serviços correspondentes.

O caminho do executável também importa

Imagine que encontramos:

explorer.exe

O nome parece legítimo.

Mas malware pode tentar utilizar nomes semelhantes aos de componentes conhecidos.

Por isso, em uma investigação de segurança, o nome sozinho não basta.

Precisamos considerar:

  • caminho do arquivo;
  • assinatura digital;
  • editor;
  • hash quando necessário;
  • comportamento;
  • mecanismo de inicialização.

Uma ferramenta simples de rede não substitui uma análise de segurança completa.

O Netstat mostra quanto cada programa está consumindo?

Essa é outra distinção importante.

O netstat é excelente para observar:

  • conexões;
  • endereços;
  • portas;
  • estados;
  • PID;
  • determinadas estatísticas.

Mas ele não é a melhor ferramenta para responder:

“Qual programa consumiu 20 GB da minha Internet esta semana?”

Para tráfego instantâneo, Gerenciador de Tarefas e Monitor de Recursos podem ser mais intuitivos.

Para histórico de consumo, precisamos utilizar outros recursos.

Estamos apenas começando

Até aqui aprendemos a sequência básica:

netstat -ano

↓

identificar uma conexão

↓

anotar o PID

↓

tasklist /FI "PID eq número"

↓

identificar o processo

↓

investigar se a conexão é esperada

Essa metodologia já resolve muitos diagnósticos.

Mas o Windows 11 oferece ferramentas ainda melhores para aprofundar a análise.

Descobrindo conexões de Internet com PowerShell no Windows 11

Na primeira parte aprendemos uma sequência fundamental:

netstat -ano

↓

identificar a conexão

↓

anotar o PID

↓

tasklist /FI "PID eq número"

↓

identificar o processo.

Esse método funciona muito bem e possui uma vantagem importante: netstat existe há muito tempo no Windows e continua sendo extremamente útil para diagnóstico.

Porém, o Windows 11 também oferece ferramentas modernas pelo PowerShell.

Com elas podemos consultar conexões como objetos estruturados, em vez de trabalhar apenas com uma grande quantidade de texto.

Uma das ferramentas mais interessantes para isso é:

Get-NetTCPConnection

O que é Get-NetTCPConnection?

Get-NetTCPConnection é um cmdlet do PowerShell utilizado para consultar conexões TCP.

Abra o Terminal do Windows e selecione PowerShell.

Execute:

Get-NetTCPConnection

Dependendo da atividade do computador, aparecerão várias entradas.

Entre as informações que podem ser apresentadas estão:

  • endereço local;
  • porta local;
  • endereço remoto;
  • porta remota;
  • estado;
  • processo proprietário.

Esse último elemento é particularmente interessante.

O PowerShell pode fornecer o identificador do processo relacionado à conexão.

Netstat ou PowerShell: qual é melhor?

Não precisamos escolher apenas um.

As duas ferramentas podem se complementar.

netstat é excelente para:

  • diagnóstico rápido;
  • compatibilidade;
  • visualizar conexões;
  • visualizar portas;
  • identificar PIDs;
  • trabalhar em Prompt de Comando.

PowerShell oferece vantagens quando queremos:

  • filtrar resultados;
  • selecionar propriedades;
  • ordenar informações;
  • relacionar objetos;
  • automatizar consultas;
  • combinar conexões com processos.

Portanto, um técnico pode utilizar os dois.

Mostrando apenas conexões estabelecidas

Em vez de visualizar tudo, podemos solicitar apenas conexões TCP no estado estabelecido.

Execute:

Get-NetTCPConnection -State Established

Isso reduz bastante a quantidade de informações.

Agora estamos procurando sessões TCP atualmente estabelecidas.

Podemos selecionar apenas as propriedades mais interessantes:

Get-NetTCPConnection -State Established |
Select-Object LocalAddress,LocalPort,RemoteAddress,RemotePort,OwningProcess

A saída ficará mais direcionada para nossa investigação.

O que significa OwningProcess?

A propriedade:

OwningProcess

indica o PID associado à conexão.

Imagine uma saída conceitual:

LocalAddress   LocalPort   RemoteAddress   RemotePort   OwningProcess
192.168.1.20   53240       203.0.113.30    443          8420

Agora sabemos que o processo:

8420

está relacionado àquela conexão.

Precisamos transformar esse PID em algo mais compreensível.

Get-Process: descobrindo o programa pelo PID

No PowerShell podemos utilizar:

Get-Process -Id 8420

Substitua 8420 pelo PID encontrado no seu computador.

O PowerShell mostrará informações sobre o processo.

Isso elimina a necessidade de abrir o Gerenciador de Tarefas apenas para consultar um PID.

Relacionando Get-NetTCPConnection e Get-Process

Agora começamos a utilizar uma das maiores vantagens do PowerShell.

Podemos pegar as conexões e consultar seus respectivos processos.

Um exemplo didático:

Get-NetTCPConnection -State Established | ForEach-Object {
    $processo = Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue

    [PSCustomObject]@{
        Processo       = $processo.ProcessName
        PID            = $_.OwningProcess
        EnderecoLocal  = $_.LocalAddress
        PortaLocal     = $_.LocalPort
        EnderecoRemoto = $_.RemoteAddress
        PortaRemota    = $_.RemotePort
    }
}

Agora conseguimos produzir uma tabela muito mais compreensível.

Em vez de enxergar apenas:

203.0.113.30:443

podemos visualizar algo conceitualmente semelhante a:

Processo   PID    EnderecoRemoto   PortaRemota
msedge     8420   203.0.113.30     443

Os valores são apenas exemplos.

Ordenando pelo nome do processo

Podemos organizar os resultados:

Get-NetTCPConnection -State Established | ForEach-Object {
    $processo = Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue

    [PSCustomObject]@{
        Processo       = $processo.ProcessName
        PID            = $_.OwningProcess
        EnderecoRemoto = $_.RemoteAddress
        PortaRemota    = $_.RemotePort
    }
} | Sort-Object Processo

Isso facilita perceber quando um mesmo aplicativo possui várias conexões simultâneas.

E isso é extremamente comum.

Por que um navegador aparece tantas vezes?

Abra algumas páginas em um navegador moderno e execute novamente a consulta.

Você provavelmente encontrará várias conexões relacionadas ao navegador.

Isso acontece porque uma única página pode carregar conteúdo proveniente de diferentes servidores.

Por exemplo:

  • HTML;
  • imagens;
  • fontes;
  • scripts;
  • vídeos;
  • APIs;
  • serviços de autenticação;
  • redes de distribuição de conteúdo;
  • anúncios;
  • métricas.

Além disso, navegadores modernos trabalham com múltiplos processos.

Portanto, não espere uma relação simples:

1 navegador = 1 processo = 1 conexão

A realidade é muito mais dinâmica.

Descobrindo todas as conexões de um PID

Imagine que encontramos:

PID 8420

Podemos solicitar somente as conexões desse processo:

Get-NetTCPConnection -OwningProcess 8420

Agora podemos observar:

  • quais endereços remotos aparecem;
  • quais portas são utilizadas;
  • quantas conexões existem;
  • quais estados aparecem.

Esse método é excelente quando já sabemos qual programa queremos investigar.

Descobrindo conexões de um programa específico

Imagine que queremos analisar um navegador.

Primeiro podemos localizar seus processos:

Get-Process msedge

ou:

Get-Process chrome

dependendo do navegador utilizado.

Você provavelmente encontrará mais de um PID.

Isso acontece porque navegadores modernos utilizam arquitetura multiprocesso.

Depois podemos investigar os PIDs desejados com Get-NetTCPConnection.

Uma forma automática de consultar um programa

Podemos combinar as ferramentas.

Exemplo com Microsoft Edge:

Get-Process msedge -ErrorAction SilentlyContinue | ForEach-Object {
    Get-NetTCPConnection -OwningProcess $_.Id -ErrorAction SilentlyContinue
}

Esse comando procura processos do Edge e tenta mostrar as conexões TCP associadas.

A mesma lógica pode ser adaptada para outros programas.

Como descobrir quem está usando uma porta específica

Esse é um dos diagnósticos mais úteis.

Imagine que um programa informa:

A porta 8080 já está em uso.

Em vez de reiniciar o computador, podemos descobrir quem está utilizando essa porta.

Com netstat:

netstat -ano | findstr :8080

Com PowerShell:

Get-NetTCPConnection -LocalPort 8080 -ErrorAction SilentlyContinue

Observe:

OwningProcess

Depois:

Get-Process -Id NUMERO_DO_PID

Agora sabemos qual processo está ocupando a porta.

LISTENING no PowerShell

Também podemos consultar portas TCP em escuta:

Get-NetTCPConnection -State Listen

Ou selecionar apenas algumas propriedades:

Get-NetTCPConnection -State Listen |
Select-Object LocalAddress,LocalPort,OwningProcess

Isso responde:

quais portas TCP possuem processos aguardando conexões?

Depois podemos identificar os processos.

Relacionando portas LISTENING aos processos

Podemos montar uma consulta:

Get-NetTCPConnection -State Listen | ForEach-Object {
    $processo = Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue

    [PSCustomObject]@{
        Processo      = $processo.ProcessName
        PID           = $_.OwningProcess
        EnderecoLocal = $_.LocalAddress
        PortaLocal    = $_.LocalPort
    }
} | Sort-Object PortaLocal

Agora conseguimos visualizar as portas em ordem.

Isso pode ajudar a encontrar:

  • servidores locais;
  • programas de acesso remoto;
  • serviços do Windows;
  • ferramentas de desenvolvimento;
  • programas de compartilhamento;
  • softwares que disponibilizam interfaces locais.

O que significa 0.0.0.0?

Você poderá encontrar:

0.0.0.0

em uma porta de escuta.

De maneira simplificada, isso normalmente indica que o processo não está limitado a um único endereço IPv4 local específico e pode estar vinculado às interfaces IPv4 apropriadas.

Mas existe uma distinção fundamental:

isso não significa automaticamente que a porta está aberta para toda a Internet.

Ainda precisamos considerar:

  • Firewall do Windows;
  • regras do firewall;
  • perfil da rede;
  • NAT;
  • roteador;
  • encaminhamento de portas;
  • CGNAT;
  • políticas;
  • topologia da rede.

Não transforme 0.0.0.0 em sinônimo de vulnerabilidade.

O que significa 127.0.0.1?

Outro endereço extremamente comum é:

127.0.0.1

Ele pertence ao espaço de loopback IPv4.

Na prática, é utilizado para comunicação dentro do próprio computador.

Você também poderá encontrar:

localhost

associado a esse conceito.

Programas podem utilizar loopback para comunicação entre seus próprios componentes.

Por exemplo, uma aplicação pode iniciar um pequeno serviço local e outra parte do mesmo programa se conectar a ele.

Portanto:

127.0.0.1:porta

não representa uma conexão com outro computador na Internet.

O que é ::1?

No IPv6, você poderá encontrar:

::1

Esse é o endereço de loopback IPv6.

Ele possui função conceitualmente semelhante ao:

127.0.0.1

no IPv4.

Portanto, uma conexão com ::1 também é local ao próprio computador.

E quando aparece ::?

Em portas de escuta IPv6, você pode encontrar:

::

Ele pode representar um endereço não especificado utilizado para vinculação de serviço.

Novamente, isso não significa automaticamente exposição pública pela Internet.

Precisamos analisar firewall, interfaces, roteamento e demais condições.

IPv6 pode fazer o Netstat parecer mais complicado

Muitos usuários estão acostumados apenas com endereços como:

192.168.0.20

Quando executam netstat, encontram algo parecido com:

[2606:4700:...]:443

e imaginam que existe algo estranho.

Pode ser simplesmente IPv6.

Um endereço IPv6 utiliza outra representação.

Isso não torna a conexão suspeita.

Como diferenciar endereço local de endereço público?

Em IPv4, algumas faixas são reservadas para redes privadas.

As mais conhecidas incluem:

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16

Portanto, endereços como:

192.168.1.1
192.168.1.50
10.0.0.1

normalmente pertencem à rede privada.

Mas cuidado:

não devemos concluir que qualquer outro endereço representa necessariamente um servidor malicioso na Internet.

Existem outras categorias de endereçamento e diferentes contextos de rede.

Descobrindo se uma conexão vai para o roteador

Imagine que seu gateway seja:

192.168.1.1

e encontramos uma conexão para:

192.168.1.1

Essa comunicação está ocorrendo com um equipamento da rede local, provavelmente o roteador naquele exemplo.

Você pode descobrir o gateway atual com:

ipconfig

Procure:

Gateway Padrão

Isso ajuda a interpretar o que aparece nas ferramentas de rede.

O endereço remoto muda o tempo todo. Isso é normal?

Pode ser.

Serviços modernos utilizam:

  • balanceamento de carga;
  • CDNs;
  • múltiplos servidores;
  • infraestrutura distribuída;
  • diferentes regiões;
  • IPv4 e IPv6.

Um aplicativo pode se conectar a endereços diferentes em momentos diferentes.

Portanto, não espere que:

programa X = sempre IP Y

Essa relação frequentemente não existe.

Posso descobrir o site apenas olhando o IP?

Nem sempre.

Esse é outro ponto importante.

Muitos sites compartilham infraestrutura.

CDNs e serviços de nuvem podem hospedar recursos de milhares de domínios.

Além disso, HTTPS limita a quantidade de informação que pode ser inferida apenas olhando uma conexão TCP.

Portanto:

IP remoto + porta 443

não equivale necessariamente a:

site exato visitado

Netstat não é histórico de navegação

Também não devemos utilizar netstat como se fosse uma ferramenta para descobrir tudo que alguém acessou anteriormente.

Ele mostra informações relacionadas ao estado atual e recente das conexões conforme os estados TCP ainda existentes.

Quando uma conexão desaparece da tabela, netstat não funciona como banco histórico completo daquela atividade.

Isso é muito diferente do histórico do navegador ou de sistemas específicos de registro de tráfego.

E as conexões UDP?

Até aqui falamos bastante de TCP.

Mas aplicativos também utilizam UDP.

No netstat -ano, podemos encontrar entradas UDP.

Porém, UDP não possui os mesmos estados de conexão TCP.

Não espere encontrar:

ESTABLISHED

da mesma maneira.

Isso ocorre porque TCP e UDP funcionam de formas diferentes.

Como consultar endpoints UDP no PowerShell?

Podemos utilizar:

Get-NetUDPEndpoint

Para selecionar informações:

Get-NetUDPEndpoint |
Select-Object LocalAddress,LocalPort,OwningProcess

Depois podemos relacionar o PID:

Get-Process -Id NUMERO_DO_PID

Isso ajuda a descobrir qual processo criou determinado endpoint UDP.

Mostrando UDP com o nome do processo

Podemos aplicar a mesma lógica:

Get-NetUDPEndpoint | ForEach-Object {
    $processo = Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue

    [PSCustomObject]@{
        Processo      = $processo.ProcessName
        PID           = $_.OwningProcess
        EnderecoLocal = $_.LocalAddress
        PortaLocal    = $_.LocalPort
    }
} | Sort-Object PortaLocal

Agora conseguimos visualizar processos e endpoints UDP de maneira mais amigável.

Por que não aparece endereço remoto no Get-NetUDPEndpoint?

Porque estamos observando endpoints UDP locais.

UDP não estabelece sessões da mesma forma que TCP.

Por isso, ferramentas baseadas apenas na tabela de endpoints não apresentam a comunicação da mesma maneira que Get-NetTCPConnection.

Para analisar tráfego UDP em profundidade, precisamos avançar para captura e análise de pacotes ou ferramentas de monitoramento apropriadas.

Como descobrir o caminho do executável?

Depois de encontrar um PID, podemos tentar consultar o processo.

Por exemplo:

Get-Process -Id 8420 | Select-Object Name,Id,Path

Dependendo do processo e das permissões, o caminho poderá aparecer.

Algo conceitualmente semelhante a:

Name     Id      Path
programa 8420    C:\Program Files\Empresa\Programa\programa.exe

O caminho ajuda muito na investigação.

Nome conhecido, caminho estranho

Imagine que encontramos um processo com nome parecido com um componente legítimo do Windows, mas localizado em:

C:\Users\Usuario\AppData\Local\Temp\

Isso merece investigação.

Não significa automaticamente malware.

Mas existe uma inconsistência que precisa ser entendida.

Pergunte:

  • quem publicou o arquivo?
  • possui assinatura digital?
  • qual programa o instalou?
  • quando apareceu?
  • inicia automaticamente?
  • por que está naquele diretório?

Nome desconhecido, caminho legítimo

O contrário também acontece.

Você encontra:

algumservico.exe

e nunca ouviu falar dele.

Mas o arquivo está dentro da pasta oficial de um programa conhecido instalado no computador.

Nesse caso, pode ser apenas um componente auxiliar.

Por isso:

não reconhecer o nome não significa que seja malware.

Não encerre processos aleatoriamente

Encontrar uma conexão desconhecida não significa que você deve executar imediatamente:

taskkill

ou finalizar o processo no Gerenciador de Tarefas.

Alguns processos são componentes importantes do sistema.

Outros pertencem a:

  • antivírus;
  • drivers;
  • VPN;
  • sincronização;
  • serviços de rede;
  • aplicativos profissionais.

Primeiro identifique.

Depois entenda.

Só então decida se existe alguma ação necessária.

Como descobrir rapidamente quem está conectado à porta 443?

Podemos executar:

Get-NetTCPConnection -RemotePort 443 -State Established

Isso mostra conexões TCP estabelecidas cujo destino utiliza porta 443.

Depois podemos incluir os processos:

Get-NetTCPConnection -RemotePort 443 -State Established | ForEach-Object {
    $p = Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue

    [PSCustomObject]@{
        Processo       = $p.ProcessName
        PID            = $_.OwningProcess
        EnderecoRemoto = $_.RemoteAddress
        PortaRemota    = $_.RemotePort
    }
}

Você provavelmente encontrará vários processos.

Isso mostra como HTTPS é utilizado por muito mais do que apenas navegadores.

Como descobrir somente conexões de um endereço específico?

Suponha que uma investigação identificou:

203.0.113.50

como endereço de interesse.

Podemos consultar:

Get-NetTCPConnection -RemoteAddress 203.0.113.50 -ErrorAction SilentlyContinue

Se houver conexão correspondente naquele momento, o PowerShell poderá mostrá-la.

Depois verificamos o PID.

Como acompanhar mudanças?

Uma única execução fornece apenas uma fotografia daquele momento.

Imagine:

12:00 — programa não está conectado.

12:01 — abre uma conexão.

12:02 — encerra.

Se executarmos o comando apenas às 12:03, talvez não vejamos aquela sessão.

Portanto, problemas intermitentes exigem monitoramento.

Podemos repetir consultas manualmente ou utilizar ferramentas específicas de análise.

Mas existe uma ferramenta gráfica do próprio Windows que merece atenção antes de partir para softwares externos:

Monitor de Recursos.

Monitor de Recursos: excelente ponte entre usuário e técnico

Abra:

resmon

e selecione:

Rede

Ali podemos correlacionar visualmente:

  • processos;
  • envio;
  • recebimento;
  • conexões TCP;
  • portas de escuta.

Para usuários que acham netstat complicado, essa é uma ótima ferramenta intermediária.

Ela permite selecionar processos e reduzir o volume de informações.

Qual ferramenta utilizar?

Podemos criar uma regra prática.

Quero descobrir quem está consumindo rede agora

Comece pelo:

Gerenciador de Tarefas

ou:

Monitor de Recursos

Quero descobrir conexões, portas e PIDs

Use:

netstat -ano

Quero descobrir rapidamente o processo de um PID

Use:

tasklist /FI "PID eq 8420"

ou:

Get-Process -Id 8420

Quero filtrar conexões de forma avançada

Use:

Get-NetTCPConnection

Quero investigar endpoints UDP

Use:

Get-NetUDPEndpoint

Quero descobrir quem está usando uma porta

Use:

netstat -ano | findstr :PORTA

ou:

Get-NetTCPConnection -LocalPort PORTA

Ainda existe uma pergunta importante

Até agora descobrimos:

qual processo abriu uma conexão.

Mas ainda não respondemos completamente:

qual programa está realmente consumindo minha Internet?

Um processo pode possuir dez conexões abertas e praticamente não transferir dados.

Outro pode possuir apenas algumas conexões e estar baixando vários gigabytes.

Número de conexões e consumo de banda são métricas diferentes.

Como descobrir qual programa está consumindo sua Internet no Windows 11

Na parte anterior aprendemos a identificar conexões e processos com:

netstat -ano
Get-NetTCPConnection
Get-NetUDPEndpoint

e também vimos como relacionar:

conexão → PID → processo

Mas ainda existe uma diferença fundamental:

um programa pode possuir várias conexões abertas sem estar consumindo muita banda.

Da mesma forma, outro aplicativo pode utilizar poucas conexões e transferir muitos dados.

Por isso, precisamos separar duas perguntas:

Quem está conectado?

e

Quem está transferindo dados de verdade?

Conexão aberta não significa consumo alto

Imagine dois programas.

O primeiro mantém 20 conexões TCP abertas, mas quase não transfere dados.

O segundo mantém apenas 2 conexões e está baixando um arquivo de vários gigabytes.

Se olharmos apenas para netstat, o primeiro pode parecer mais “ativo”.

Mas, em termos de consumo da Internet, o segundo é muito mais importante.

Portanto, quantidade de conexões não mede consumo de banda.

Comece pelo Gerenciador de Tarefas

Abra:

Ctrl + Shift + Esc

No Gerenciador de Tarefas, observe a coluna:

Rede

Quando um processo está transferindo dados, você poderá ver atividade em:

  • Mbps;
  • Kbps;
  • porcentagem relativa, dependendo da visualização.

Esse é um ótimo primeiro filtro.

Se um programa está utilizando bastante rede naquele momento, ele provavelmente aparecerá perto do topo quando você ordenar pela coluna correspondente.

Ordene pela coluna Rede

Clique no cabeçalho da coluna:

Rede

Isso permite ordenar os processos do maior para o menor consumo.

Agora observe:

  • navegador;
  • OneDrive;
  • serviços do Windows;
  • aplicativos de comunicação;
  • launchers;
  • antivírus;
  • clientes de nuvem;
  • atualizadores.

Essa simples operação pode revelar rapidamente o culpado.

Mas o Gerenciador de Tarefas mostra apenas o momento atual

Esse é o primeiro limite.

Imagine que um programa fez um grande download há cinco minutos e terminou.

Agora ele aparece com:

0 Mbps

Isso não significa que não consumiu dados.

A coluna mostra principalmente atividade atual.

Para histórico, precisamos consultar outra área do Windows.

Monitor de Recursos

Abra:

Windows + R

Digite:

resmon

Pressione Enter.

Clique na guia:

Rede

Agora observe a seção:

Processos com atividade de rede

Ela pode mostrar métricas como:

  • Enviar;
  • Receber;
  • Total.

Esses valores ajudam a descobrir quem está transmitindo e quem está recebendo dados.

Enviar, Receber e Total

Essas três colunas são importantes.

Enviar

Mostra tráfego saindo do computador.

Pode aumentar em situações como:

  • upload para nuvem;
  • envio de arquivos;
  • backup online;
  • videoconferência;
  • sincronização;
  • acesso remoto.

Receber

Mostra tráfego entrando no computador.

Pode aumentar durante:

  • downloads;
  • streaming;
  • atualização;
  • navegação;
  • sincronização.

Total

Representa a soma aproximada da atividade observada.

Isso facilita descobrir rapidamente quais processos estão movimentando mais dados naquele momento.

Filtre por um processo específico

Uma das vantagens do Monitor de Recursos é selecionar apenas um processo.

Imagine que você suspeita de:

OneDrive.exe

Marque o processo.

As outras áreas podem ser filtradas para mostrar informações relacionadas a ele.

Agora você consegue observar de forma mais clara:

  • conexões TCP;
  • endereços remotos;
  • envio;
  • recebimento.

Isso ajuda muito no diagnóstico.

OneDrive pode consumir bastante Internet sem parecer “aberto”

Esse é um caso comum.

O OneDrive pode sincronizar arquivos em segundo plano.

Se você adicionou recentemente:

  • fotos;
  • vídeos;
  • pastas grandes;
  • arquivos de trabalho;

ele pode utilizar bastante upload.

Da mesma forma, se outro dispositivo alterou arquivos sincronizados, o computador pode realizar downloads.

Portanto, quando a Internet parece lenta, vale observar clientes de sincronização.

Windows Update também pode consumir banda

O próprio Windows pode baixar:

  • atualizações cumulativas;
  • atualizações de segurança;
  • drivers;
  • componentes;
  • recursos;
  • atualizações de aplicativos.

Em determinados momentos, isso pode gerar bastante atividade de rede.

No Gerenciador de Tarefas, nem sempre aparecerá uma linha simplesmente chamada:

Windows Update

A atividade pode estar associada a serviços do sistema.

Isso nos leva novamente ao:

svchost.exe

Svchost.exe e consumo de rede

svchost.exe hospeda serviços do Windows.

Se encontramos um svchost.exe com atividade de rede, precisamos descobrir quais serviços estão associados ao PID.

Exemplo:

tasklist /svc /FI "PID eq 1234"

Substitua 1234 pelo PID real.

Isso pode revelar serviços relacionados ao processo.

A partir daí, conseguimos interpretar melhor o motivo da atividade.

Não finalize svchost.exe aleatoriamente

Um erro comum é ver um svchost.exe usando rede e clicar:

Finalizar tarefa

Isso pode interromper serviços importantes.

Primeiro descubra:

  • qual PID;
  • quais serviços;
  • se a atividade é esperada;
  • se existe uma atualização em andamento.

Como descobrir o consumo histórico de dados

O Windows 11 também possui uma área de uso de dados.

Abra:

Configurações → Rede e Internet

Procure:

Uso de dados

Dependendo da versão e da interface do Windows, essa seção mostra estatísticas de consumo por aplicativo ao longo de um período.

Ela pode responder algo como:

qual aplicativo consumiu mais dados nos últimos dias?

Isso é diferente do Monitor de Recursos, que trabalha principalmente com atividade em tempo real.

Histórico de consumo não significa conexão atual

Imagine que um navegador aparece com grande consumo acumulado.

Isso não significa que ele esteja utilizando banda naquele segundo.

Da mesma forma, um aplicativo pode estar consumindo banda agora e ainda aparecer com um total histórico relativamente baixo.

Por isso, combine:

Gerenciador de Tarefas

Monitor de Recursos

Uso de dados

Navegador consumindo muita rede: o problema pode ser uma única aba

Navegadores modernos podem transferir muitos dados devido a:

  • vídeo;
  • streaming;
  • chamada de vídeo;
  • download;
  • sites com mídia pesada;
  • extensões;
  • atualização de abas;
  • conteúdo em segundo plano.

Se o navegador aparece consumindo muita rede, verifique:

  • abas abertas;
  • downloads ativos;
  • streaming;
  • sincronização;
  • extensões.

Fechar uma aba específica pode reduzir imediatamente o consumo.

Streaming pode dominar a conexão

Serviços de vídeo podem consumir muita largura de banda.

Isso vale para:

  • vídeos em alta resolução;
  • transmissões ao vivo;
  • chamadas;
  • serviços de streaming.

Se vários dispositivos na mesma rede estiverem fazendo isso ao mesmo tempo, a Internet pode parecer lenta no computador mesmo que o problema não esteja no Windows.

Esse é um ponto importante:

nem todo congestionamento vem do próprio PC.

Teste se o consumo está dentro do computador ou em outro dispositivo

Imagine que o computador está lento, mas o Gerenciador de Tarefas mostra quase nenhum tráfego.

Ainda assim, a Internet está saturada.

Nesse caso, outro dispositivo pode estar consumindo a conexão.

Por exemplo:

  • Smart TV;
  • celular;
  • videogame;
  • câmera;
  • outro computador;
  • NAS;
  • backup em nuvem.

Então o diagnóstico precisa sair do Windows e olhar para a rede como um todo.

Como saber se o próprio computador está saturando a conexão

Uma forma prática:

  1. abra o Gerenciador de Tarefas;
  2. ordene pela coluna Rede;
  3. abra o Monitor de Recursos;
  4. observe envio e recebimento;
  5. identifique os processos com maior tráfego;
  6. compare com a velocidade contratada.

Se seu link possui:

100 Mbps

e um processo está recebendo perto disso, ele provavelmente está utilizando grande parte da capacidade naquele momento.

Mbps não é o mesmo que MB/s

Essa diferença causa muita confusão.

Provedores normalmente anunciam velocidade em:

Mbps

megabits por segundo.

Downloads podem aparecer em:

MB/s

megabytes por segundo.

Como:

8 bits = 1 byte

uma conexão de:

100 Mbps

possui um máximo teórico aproximado de:

12,5 MB/s

antes de considerar overhead e outras limitações.

Portanto, não compare diretamente 100 Mbps com 10 MB/s como se fossem a mesma unidade.

Upload também pode deixar a Internet lenta

Muita gente olha apenas para download.

Mas saturar o upload pode prejudicar bastante a experiência.

Imagine uma conexão com:

500 Mbps de download

e apenas:

50 Mbps de upload

Se um backup em nuvem usar quase todo o upload, outros serviços podem sofrer.

Isso acontece porque muitas aplicações dependem de comunicação nos dois sentidos.

Backup em nuvem é um suspeito frequente

Programas de backup podem trabalhar em segundo plano.

Eles podem enviar:

  • fotos;
  • vídeos;
  • documentos;
  • imagens de disco;
  • bancos de dados.

Se a sincronização começou depois de copiar uma pasta grande, o consumo pode permanecer alto durante bastante tempo.

Verifique o aplicativo responsável antes de culpar o provedor de Internet.

Antivírus pode usar Internet?

Sim.

Antivírus podem utilizar rede para:

  • atualizar assinaturas;
  • consultar reputação;
  • enviar telemetria;
  • acessar serviços em nuvem;
  • verificar URLs;
  • atualizar componentes.

Isso normalmente é legítimo.

O importante é observar se o volume e o comportamento fazem sentido.

Launchers também consomem muita rede

Launchers de jogos e aplicativos podem:

  • baixar atualizações;
  • corrigir arquivos;
  • instalar patches;
  • atualizar bibliotecas.

Mesmo que você não esteja jogando, o launcher pode estar ativo em segundo plano.

Vale conferir programas desse tipo quando existe consumo inesperado.

Aplicativos da Microsoft Store

Aplicativos instalados pela Microsoft Store também podem atualizar em segundo plano.

Isso pode gerar tráfego sem uma janela evidente na tela.

Novamente, isso não significa comportamento malicioso.

Como investigar um pico inesperado de uso

Uma sequência prática:

1. Abra o Gerenciador de Tarefas

Ordene por:

Rede

2. Identifique o processo

Anote:

  • nome;
  • PID, se necessário.

3. Abra o Monitor de Recursos

Digite:

resmon

4. Selecione o processo

Observe:

  • envio;
  • recebimento;
  • conexões TCP.

5. Use Netstat

netstat -ano

Procure o PID.

6. Se necessário, use PowerShell

Get-NetTCPConnection -OwningProcess PID

Agora você relaciona consumo, processo e conexões.

Um exemplo prático completo

Imagine que a Internet está lenta.

No Gerenciador de Tarefas encontramos:

OneDrive.exe

com alto uso de rede.

No Monitor de Recursos observamos grande valor em:

Enviar

Isso indica muito upload.

Executamos:

Get-NetTCPConnection -OwningProcess 8420

e encontramos várias conexões HTTPS.

Agora a hipótese faz sentido:

o OneDrive está enviando arquivos para a nuvem.

A solução não é “consertar o DNS”.

É controlar ou aguardar a sincronização.

Outro exemplo: Windows Update

A Internet fica lenta.

Não existe navegador fazendo download.

Encontramos um serviço do Windows com tráfego elevado.

Usamos:

tasklist /svc /FI "PID eq 1234"

e identificamos serviços relacionados à atualização.

Agora sabemos que existe uma atividade legítima do sistema.

Podemos verificar:

Configurações → Windows Update

e confirmar se existe download em andamento.

Outro exemplo: programa desconhecido

Encontramos:

programaXYZ.exe

consumindo bastante rede.

Agora precisamos investigar.

Pergunte:

  • eu instalei esse programa?
  • onde está o executável?
  • qual empresa publicou?
  • existe assinatura digital?
  • ele inicia automaticamente?
  • qual é o PID?
  • para quais endereços ele se conecta?

Use:

Get-Process -Id PID | Select-Object Name,Id,Path

Depois investigue a origem.

Não use apenas o nome do arquivo para decidir se é seguro

Um nome como:

update.exe

não diz praticamente nada.

Pode ser:

  • atualizador legítimo;
  • componente de software;
  • arquivo temporário;
  • programa malicioso.

Precisamos de contexto.

Como verificar assinatura digital

No Explorador de Arquivos:

  1. localize o executável;
  2. clique com o botão direito;
  3. abra Propriedades;
  4. procure a guia Assinaturas Digitais, quando disponível.

Observe o editor.

Isso não substitui uma análise completa, mas ajuda.

Um programa sem assinatura é necessariamente vírus?

Não.

Muitos programas legítimos pequenos não possuem assinatura digital.

Portanto:

sem assinatura ≠ malware

Da mesma forma:

com assinatura ≠ confiança absoluta

A assinatura é apenas uma das evidências.

Quando usar um scanner de segurança

Se o processo é desconhecido e apresenta comportamento suspeito, utilize uma solução de segurança confiável.

O próprio Microsoft Defender pode realizar verificações.

Evite baixar “removedores milagrosos” de sites aleatórios.

Você pode acabar instalando ainda mais problemas.

Como verificar se um processo inicia com o Windows

Abra:

Gerenciador de Tarefas → Aplicativos de Inicialização

Procure o programa.

Também existem outras formas de inicialização, incluindo:

  • serviços;
  • tarefas agendadas;
  • Registro;
  • aplicativos do sistema.

Portanto, essa tela é apenas uma parte do diagnóstico.

Consumo alto somente após ligar o computador

Esse comportamento pode ser perfeitamente normal.

Logo após a inicialização, vários componentes podem trabalhar simultaneamente:

  • Windows Update;
  • OneDrive;
  • antivírus;
  • programas de atualização;
  • sincronizadores;
  • navegadores restaurando sessões.

Espere alguns minutos e observe novamente.

Se o consumo permanece alto indefinidamente, aí sim vale investigar.

Internet lenta, mas nenhum programa consome muito

Esse cenário é extremamente importante.

Se nenhum processo parece utilizar banda de forma significativa, talvez o problema esteja em:

  • Wi-Fi ruim;
  • interferência;
  • sinal fraco;
  • cabo;
  • roteador;
  • DNS;
  • perda de pacotes;
  • bufferbloat;
  • provedor;
  • outro dispositivo da rede.

Nesse caso, este tutorial já ajudou a eliminar uma hipótese:

o próprio computador não está saturando a conexão.

Verifique perda de pacotes

Podemos começar com:

ping 1.1.1.1

Observe:

  • perda;
  • latência;
  • variação.

Depois teste um domínio:

ping www.microsoft.com

Isso também ajuda a verificar resolução de nomes.

Mas lembre-se:

Ping não mede toda a qualidade da Internet.

É apenas uma ferramenta de diagnóstico.

Gerenciador de Tarefas mostra 0 Mbps, mas existe tráfego

Isso pode acontecer porque:

  • o tráfego é muito pequeno;
  • a medição foi arredondada;
  • ocorreu rapidamente;
  • o processo terminou;
  • a transferência é intermitente.

Por isso, combine várias ferramentas.

Netstat mostra muitas conexões após fechar o navegador

Isso também pode ser normal.

Você pode encontrar:

TIME_WAIT

por algum tempo.

Além disso, o navegador pode manter processos em segundo plano dependendo da configuração.

Verifique no Gerenciador de Tarefas se os processos realmente encerraram.

Fechar um programa e ver se o tráfego cai é um teste válido?

Pode ser.

Mas faça isso de forma controlada.

Se o programa é conhecido e pode ser fechado com segurança, encerre-o normalmente.

Observe se:

  • consumo diminuiu;
  • conexões desapareceram;
  • desempenho melhorou.

Essa correlação pode confirmar a hipótese.

Não finalize processos do sistema aleatoriamente para “testar”.

Como diferenciar download de upload

No Monitor de Recursos:

Receber alto → mais download.

Enviar alto → mais upload.

Isso é útil porque o sintoma pode mudar.

Por exemplo:

upload alto + Internet lenta pode apontar para:

  • backup;
  • sincronização;
  • envio de vídeos;
  • câmera;
  • acesso remoto.

Conexão limitada no Windows 11

O Windows possui recursos de conexão limitada.

Em determinadas redes, isso pode ajudar a reduzir alguns downloads automáticos.

A configuração pode ser encontrada nas propriedades da conexão.

Mas não use isso como solução genérica para qualquer problema.

Ela altera o comportamento de algumas transferências do Windows, mas não impede todos os programas de utilizar Internet.

O programa pode ignorar a conexão limitada?

Sim.

Aplicativos de terceiros podem ter comportamento próprio.

Portanto, marcar uma rede como limitada não funciona como um firewall universal.

Firewall bloqueia consumo?

O Firewall do Windows controla tráfego com base em regras.

Ele pode bloquear determinadas conexões.

Mas sua função principal não é limitar velocidade.

Para limitar banda por programa, precisamos de mecanismos diferentes.

Não confunda:

bloquear tráfego

com

limitar velocidade.

Posso descobrir quanto cada conexão está transferindo com Netstat?

Não diretamente da forma que muitos imaginam.

netstat mostra principalmente informações sobre conexões, estados, portas e estatísticas gerais.

Para análise detalhada de tráfego por fluxo, precisamos de ferramentas específicas de captura ou monitoramento.

Quando avançar para captura de pacotes

Se ainda existe uma dúvida técnica específica, podemos utilizar ferramentas como:

  • Wireshark;
  • pktmon;
  • ferramentas de firewall;
  • soluções de monitoramento.

Mas isso já é outro nível de diagnóstico.

Para a maioria dos usuários, Gerenciador de Tarefas, Monitor de Recursos, netstat e PowerShell já resolvem bastante coisa.

Procedimento completo: Internet está lenta no Windows 11

Vamos organizar tudo.

Etapa 1 — Descubra se o próprio computador está consumindo banda

Abra:

Gerenciador de Tarefas

Ordene por:

Rede

Etapa 2 — Veja envio e recebimento

Abra:

resmon

Entre em:

Rede

Etapa 3 — Identifique PID

Se necessário:

netstat -ano

Etapa 4 — Identifique o processo

tasklist /FI "PID eq 8420"

ou:

Get-Process -Id 8420

Etapa 5 — Veja conexões do processo

Get-NetTCPConnection -OwningProcess 8420

Etapa 6 — Descubra o que o programa está fazendo

Verifique:

  • download;
  • upload;
  • atualização;
  • sincronização;
  • backup;
  • streaming.

Etapa 7 — Se nenhum programa explica a lentidão

Investigue:

  • Wi-Fi;
  • roteador;
  • perda de pacotes;
  • DNS;
  • outros dispositivos;
  • operadora.

Agora o diagnóstico fica muito mais objetivo.

O que não fazer

Evite conclusões como:

“Tem muitos IPs no netstat, então fui hackeado.”

“Tem TIME_WAIT, então existe vírus.”

“A porta está LISTENING, então está aberta na Internet.”

“svchost.exe usa Internet, então é malware.”

“O programa tem 20 conexões, então ele consome mais banda.”

Todas essas conclusões podem estar erradas.

A lógica correta

A investigação deve seguir esta ordem:

Existe consumo anormal?

↓

Qual processo está consumindo?

↓

Qual é o PID?

↓

Qual é o executável?

↓

O que ele está fazendo?

↓

Para onde se conecta?

↓

O comportamento é esperado?

Essa metodologia é muito mais confiável.

Perguntas frequentes

Como descobrir qual programa está usando a Internet no Windows 11?

Abra o Gerenciador de Tarefas e ordene pela coluna Rede. Para detalhes, use o Monitor de Recursos com:

resmon

e ferramentas como:

netstat -ano

ou:

Get-NetTCPConnection

O que significa PID?

PID significa Process Identifier.

É um número que identifica um processo em execução naquele momento.

Como descobrir o nome do programa pelo PID?

No Prompt de Comando:

tasklist /FI "PID eq 8420"

No PowerShell:

Get-Process -Id 8420

Como descobrir quem está usando uma porta?

Use:

netstat -ano | findstr :8080

Depois identifique o PID.

No PowerShell:

Get-NetTCPConnection -LocalPort 8080

Muitas conexões ESTABLISHED significam vírus?

Não.

Navegadores, aplicativos e serviços modernos podem manter muitas conexões legítimas simultaneamente.

TIME_WAIT é problema?

Normalmente não.

É um estado normal do TCP depois do encerramento de determinadas conexões.

LISTENING significa que alguém está conectado?

Não.

Significa que um processo está aguardando conexões em uma porta.

Ainda é necessário analisar endereço, firewall e contexto.

Posso ver o histórico de consumo da Internet?

O Windows 11 possui uma área de uso de dados nas configurações de rede que pode mostrar consumo acumulado por aplicativo.

OneDrive pode deixar a Internet lenta?

Pode, especialmente durante sincronização de grande quantidade de arquivos.

Observe se existe alto valor em upload ou download.

Windows Update pode usar muita Internet?

Sim.

Atualizações do Windows, drivers e componentes podem gerar tráfego significativo em determinados momentos.

Conclusão

Descobrir quais programas estão usando a Internet no Windows 11 não exige instalar imediatamente ferramentas externas.

O próprio sistema possui recursos muito úteis.

Comece pelo:

Gerenciador de Tarefas

Depois avance para:

Monitor de Recursos

Use:

netstat -ano

para relacionar conexões e PIDs.

E, quando precisar de filtros mais avançados, utilize:

Get-NetTCPConnection

O mais importante é não confundir:

conexão aberta

com:

consumo alto de banda

e não transformar toda conexão desconhecida em uma ameaça.

Diagnóstico de rede funciona melhor quando relacionamos:

processo + PID + conexão + volume de tráfego + contexto.

Esse conjunto de informações permite descobrir se a Internet lenta está sendo causada por:

  • navegador;
  • Windows Update;
  • OneDrive;
  • backup;
  • antivírus;
  • launcher;
  • aplicativo desconhecido;
  • ou se o problema está fora do computador.

Precisa de ajuda para descobrir o que está usando sua Internet?

Se o Windows 11 apresenta lentidão na Internet, consumo inesperado de rede, programas conectando em segundo plano ou você precisa descobrir qual processo está utilizando determinada porta, a VMIA – Manutenção e Configuração pode realizar o diagnóstico.

O atendimento pode incluir análise de rede, Wi-Fi, programas em segundo plano, Windows, roteadores, impressoras e outros problemas relacionados à conectividade.

VMIA – Manutenção e Configuração
Rua Prof. Sud Menucci, 291 – Vila Mariana – São Paulo – SP – 04017-080
Telefone/WhatsApp: (11) 99779-7772
Site: https://vmia.site
Blog: https://vmia.com.br
WhatsApp: https://whats.vmia.com.br

Antes de culpar a operadora, descubra quem realmente está usando sua conexão.

Seja o primeiro a comentar

Faça um comentário

Seu e-mail não será publicado.


*