Scopri quale app sta usando la rete sul Mac

Qualcosa sta usando la connessione. L'indicatore Wi-Fi è occupato mentre non stai facendo nulla, una connessione in tethering brucia il traffico disponibile in un pomeriggio, oppure una video chiamata si degrada ogni volta che ti metti a lavorare. macOS può rispondere, ma gli strumenti sono sparsi e il numero più evidente in ciascuno è cumulativo anziché in tempo reale, e così si finisce sul processo sbagliato.

La scheda Rete di Monitoraggio Attività indica il processo, ma le colonne contano i totali dall'avvio di ciascun processo. Per ciò che sta spostando dati in questo momento, usa nettop. Per sapere con quali host remoti un processo sta comunicando, usa lsof -i.

Monitoraggio Attività indica il processo

Apri Monitoraggio Attività e seleziona la scheda Rete. Ogni processo che ha spostato dati compare con i byte inviati e ricevuti.

Ordinare quelle colonne può portarti al processo sbagliato. Sono totali accumulati dall'avvio di ciascun processo: un daemon attivo dall'ultimo riavvio può precedere l'app che sta saturando la connessione adesso. Un totale alto in "Byte ricevuti" non dimostra che il processo stia trasferendo molti dati in questo momento.

Due righe allarmano e di solito non dovrebbero:

• mDNSResponder gestisce il DNS e il rilevamento della rete locale per l'intero sistema. Su un Mac acceso da settimane può mostrare gigabyte. È un proxy per tutto il resto che risolve i nomi, non un'app che scarica in background.
• kernel_task compare perché il lavoro di rete attraversa il kernel. Vedi kernel_task con CPU alta per la stessa attribuzione errata in forma CPU.

In fondo alla finestra c'è un grafico in tempo reale dei dati in ingresso e in uscita al secondo. Quel grafico, non le colonne, è ciò che va osservato mentre cambi qualcosa.

La guida Rete di Monitoraggio Attività distingue i dati cumulati dall’avvio del processo dai dati al secondo mostrati in fondo alla finestra.

nettop mostra cosa si muove adesso

nettop è lo strumento che risponde alla domanda vera. È incluso in macOS e non richiede installazione.

nettop -P -L 2 -d -J bytes_in,bytes_out

,bytes_in,bytes_out,
syslogd.362,0,22701,
apsd.368,685304,414375,
mDNSResponder.480,4189609493,104188210,

-P aggrega per processo, -L 2 stampa due campioni CSV, -d rende il secondo una variazione nell’intervallo e -J sceglie le colonne. Il primo campione è la base, il successivo mostra ciò che si è mosso davvero. Per seguire continuamente, esegui nettop -P -d in modo interattivo.

lsof -i mostra dove si connette

Quando hai un nome, la domanda successiva è di solito dove sta inviando i dati.

lsof -nP -iTCP -sTCP:ESTABLISHED

-n evita il DNS inverso, -P la ricerca dei nomi delle porte, -iTCP limita a TCP e -sTCP:ESTABLISHED esclude socket in ascolto o chiusi. I permessi normali bastano quasi sempre. Elevali solo se nell’indagine manca un processo di sistema.

Risolvere quegli indirizzi è il punto in cui conta l'onestà: un IP che appartiene a un grande provider cloud dice quasi nulla, perché gran parte di internet è ospitata lì. Trattalo come un indizio, non come un'identificazione.

Le risposte abituali

Prima di assumere che qualcosa non vada, controlla le cose che devono usare la rete senza che glielo chiedi.

Aggiornamento Software merita una menzione a parte perché scarica in background per impostazione predefinita e un installer completo di macOS pesa diversi gigabyte. Su una connessione a consumo quella sola impostazione è spesso l'intero problema.

Quello che macOS non ti dice

Tre limiti, perché diversi articoli popolari li saltano:

• Non esiste una cronologia integrata della banda per app. Activity Monitor e nettop riportano entrambi dall'avvio del processo o dal momento in cui hai iniziato a osservare. Nulla in macOS tiene un registro per app che puoi consultare in seguito.
• I totali per processo non sono totali per app. Un browser distribuisce il traffico su più processi renderer, e un daemon di supporto può trasportare il traffico di diverse app insieme.
• Il traffico attraverso una VPN o un'estensione di sistema può essere attribuito all'estensione anziché all'app che l'ha generato.

Per creare una cronologia per app serve una raccolta nel tempo. Prima di fidarti dei dati, verifica come lo strumento misura il traffico, i periodi coperti e l'attribuzione dei processi condivisi.

Un controllo ripetibile

1. Osserva il grafico in tempo reale di Monitoraggio Attività in fondo alla scheda Rete, non le colonne.
2. Esegui una volta nettop -P -L 2 -d -J bytes_in,bytes_out. Il comando produce due campioni; il secondo mostra la variazione rispetto al primo.
3. Per il processo il cui traffico è aumentato, esegui lsof -i -n -P per vedere dove è connesso.
4. Metti in pausa l'app o il servizio di sincronizzazione sospetto e conferma che il grafico scende.
5. Se il traffico non diminuisce, controlla altri processi, tra cui Aggiornamento Software e iCloud. Una sola prova non esclude le altre app.

Il passo quattro è quello che si salta, ed è ciò che separa un'identificazione da una congettura.

Dove si inserisce un monitor

Mole tiene il throughput di rete in tempo reale nella barra dei menu accanto a CPU, memoria e stato termico, così una connessione occupata è visibile quando succede, non ricostruita dopo. Riporta il throughput che può misurare e non installa un filtro di rete per pretendere una cronologia per app che macOS non fornisce.

Domande frequenti

Perché mDNSResponder usa così tanti dati?

Risolve i nomi e gestisce il rilevamento della rete locale per l'intero sistema, quindi il traffico di molti altri processi viene contato su di esso. Non sta scaricando nulla di proprio.

Posso vedere quanti dati ha usato un'app ieri?

Non a posteriori con questi strumenti di macOS. Una cronologia per app richiede una raccolta durante il periodo interessato. Verifica il metodo di misura e i periodi coperti dallo strumento.

Come trovo cosa sta usando i dati su un hotspot?

Attiva la Modalità dati bassi per quella rete in Impostazioni di Sistema > Wi-Fi > Dettagli, che ferma diversi servizi in background tra cui i download automatici degli aggiornamenti, poi usa il confronto nettop sopra per ciò che resta.

Un'attività di rete alta è un segno di malware?

È raramente il primo segno, e le spiegazioni abituali sopra coprono quasi ogni caso. Esaminale prima di trattare un traffico di background costante come sospetto.