WMIRPCトラフィック

これは、コレクター側とホスト側の両方のサービスのオープン/クローズドTCP接続の観点から、単一の「通常の」Windowsサーバー(約70のWMI収集タスク)を監視するコレクターがどのように見えるかを簡単に分析したものです。 。

データ収集

ローカルコレクターについて

  • 「通常の」量のWMI収集タスクでホストを監視しているWindowsコレクターは、各収集中にsvchost.exeプロセス(コレクターのエフェメラルポート経由のRPC EMAP>ホストの3TCP)で約4〜135のアウトバウンドを安定して維持します。タスクのポーリングサイクル。
  • 監視しているデータソースの数に応じて、これは5〜20秒ごとに発生し、HostStatus-idleIntervalの測定値に対応する必要があります。
    この後、これらのエフェメラルポート接続はTIME_WAIT状態に送信され、2MSLタイムアウト期間後に接続が正常に閉じます。
  • これらの接続のうち6〜18は、いつでもTIME_WAIT状態でプールできます。
  • さらに、1〜10個のエフェメラルローカルポート接続>リモートエフェメラルポートがsbwinproxy.exeによって常に維持されている>ホストのsvchost.exeが表示される場合があります。

ローカルホスト上

  • 「通常の」量のWMI収集タスクで監視されているWindowsホストは、各収集タスクのポーリングサイクル中に、svchost.exe(ホスト上の1TCPを介したRPCEMAP>コレクター上のエフェメラルポート)で約135つの接続を安定して維持します。
  • 監視しているデータソースの数に応じて、これは5〜20秒ごとに発生し、HostStatus-idleIntervalの測定値に対応する必要があります。
    この後、これらのエフェメラルポート接続はTIME_WAIT状態に送信され、2MSLタイムアウト期間後に接続が正常に閉じます。
  • 「通常の」Windowsホストは、これらのTIME_WAIT接続をいつでも約6〜18個プールできます。
    A
  • さらに、svchost.exe>コレクターのsvchost.exeによって常に維持されている1〜10個のエフェメラルポート接続ポートが表示される場合があります。

アクティブディスカバリー 

ローカルコレクターについて

  • 「通常の」量のWMI収集タスクで監視されているWindowsホストは、10 TCPを超えるエフェメラルポートを介して最大135個のクイックsvchost.exe(RPC EMAP)接続を生成し、接続が閉じるTIME_WAIT状態にすぐに送信されます。 2MSLタイムアウト期間後に正常に。
  • いくつかの収集タスクの後、定常状態に到達し、TIME_WAIT状態の一時的な接続の数は3〜4に減少します。
  • さらに、java.exeはアウトバウンド接続を確立します。

ローカルホスト上

  • 「通常の」量のWMI収集タスクで監視されているWindowsホストは、20 TCP>エフェメラルポートを介して最大30〜135のクイックsvchost.exe(RPC EMAP)接続を生成し、すぐにTIME_WAIT状態に送信されます。 2 MSLタイムアウト期間の後、接続は正常に閉じます。
  • いくつかの収集タスクの後、定常状態に到達し、TIME_WAIT状態の一時的な接続の数は6〜18に減少します。

LogicBlogの他の記事

アンペアロボット 影

お店の話をしましょう。

STARTED GET