Welke app gebruikt mijn netwerk op de Mac?

Iets gebruikt de verbinding. Het wifi-symbool is bezig terwijl je niets doet, een gedeelde verbinding jaagt in een middag door zijn tegoed, of een video-gesprek wordt slechter elke keer dat je gaat zitten om te werken. macOS kan dit beantwoorden, maar de tools liggen verspreid en het meest in het oog springende getal in elk ervan is cumulatief in plaats van live, waardoor mensen bij het verkeerde proces uitkomen.

Het tabblad Netwerk van Activiteitenweergave noemt het proces, maar de kolommen tellen totalen sinds elk proces startte. Gebruik voor wat er nu data verplaatst nettop. Gebruik voor met welke externe hosts een proces praat lsof -i.

Activiteitenweergave noemt het proces

Open Activiteitenweergave en selecteer het tabblad Netwerk. Elk proces dat data heeft verplaatst, verschijnt met verzonden en ontvangen bytes. De gids van Activiteitenweergave van Apple maakt onderscheid tussen cumulatief Data received/sent en live Data received/sent per second onderaan het venster.

Die kolommen sorteren stuurt mensen achter het verkeerde proces aan. Het zijn totalen die zijn opgebouwd sinds elk proces startte, dus een daemon die sinds je laatste herstart draait staat boven de app die je verbinding deze minuut volzet. Sorteren op "Rcvd Bytes" kan daardoor een proces met weinig actueel verkeer bovenaan zetten.

Twee rijen maken mensen ongerust en zouden dat meestal niet moeten:

• mDNSResponder handelt DNS en lokale netwerkontdekking af voor het hele systeem. Op een Mac die weken aan staat, kan hij gigabytes tonen. Het is een proxy voor al het andere dat namen opzoekt, geen app die op de achtergrond downloadt.
• kernel_task verschijnt omdat netwerkwerk door de kernel gaat. Zie kernel_task met hoge CPU voor dezelfde verkeerde toeschrijving in zijn CPU-vorm.

Onderaan het venster staat een live grafiek van data in en uit per seconde. Die grafiek, niet de kolommen, is wat je in de gaten houdt terwijl je iets verandert.

nettop toont wat er nu beweegt

nettop is de tool die de echte vraag beantwoordt. Hij wordt met macOS meegeleverd en hoeft niet geïnstalleerd te worden.

nettop -P -L 2 -d -J bytes_in,bytes_out

,bytes_in,bytes_out,
syslogd.362,0,22701,
apsd.368,685304,414375,
mDNSResponder.480,4189609493,104188210,

-P telt per proces in plaats van per verbinding, -L 2 drukt twee CSV-samples, -d maakt latere samples verschillen, en -J kiest de kolommen. De eerste sample is de basislijn. De volgende toont wat er in het interval bewoog. Draai nettop -P -d interactief als je dezelfde weergave wilt laten verversen tot je stopt.

lsof -i toont waar het naartoe verbindt

Heb je een naam, dan is de volgende vraag meestal waar het data naartoe stuurt.

lsof -nP -iTCP -sTCP:ESTABLISHED

-n slaat reverse DNS over en -P slaat het opzoeken van poortnamen over, waardoor de uitvoer snel en letterlijk is. -iTCP beperkt het resultaat tot TCP, terwijl -sTCP:ESTABLISHED luisterende en gesloten sockets weghaalt. Je krijgt het proces, de lokale poort en het externe adres dat voor jouw gebruiker zichtbaar is. Gebruik verhoogde rechten alleen als een proces van het systeem het ontbrekende deel van het onderzoek is.

Die adressen oplossen is waar eerlijkheid telt: een IP dat bij een grote cloud-aanbieder hoort, vertelt je bijna niets, want het grootste deel van het internet wordt daar gehost. Behandel het als een hint, niet als een identificatie.

De gebruikelijke antwoorden

Ga er niet meteen van uit dat er iets mis is. Controleer eerst de dingen die het netwerk horen te gebruiken zonder dat je het vraagt.

Software-update verdient een aparte vermelding, omdat het standaard op de achtergrond downloadt en een volledig macOS-installatieprogramma enkele gigabytes is. Op een verbinding met een datalimiet is die ene instelling vaak het hele probleem.

Wat macOS je niet vertelt

Drie grenzen, omdat verschillende populaire artikelen ze overslaan:

• Er is geen ingebouwde geschiedenis van bandbreedte per app. Activiteitenweergave en nettop melden allebei vanaf de start van het proces of vanaf het moment dat je ging kijken. Niets in macOS bewaart een registratie per app die je achteraf kunt raadplegen.
• Totalen per proces zijn geen totalen per app. Een browser spreidt zijn verkeer over rendererprocessen, en een helper-daemon kan verkeer voor meerdere apps tegelijk dragen.
• Verkeer via een vpn of een systeemextensie kan aan de extensie worden toegeschreven in plaats van aan de app die het maakte.

Een tool die een volledige historische uitsplitsing per app belooft, installeert ofwel een eigen netwerkfilter of maakt een schatting, en je wilt weten welke van de twee het is voordat je het getal vertrouwt.

Een controle die je kunt herhalen

1. Kijk naar de live grafiek onderaan het tabblad Netwerk van Activiteitenweergave, niet naar de kolommen.
2. Draai nettop -P -L 2 -d -J bytes_in,bytes_out en lees de tweede sample.
3. Draai voor het proces dat groeide lsof -nP -iTCP -sTCP:ESTABLISHED om te zien waar het verbonden is.
4. Pauzeer de verdachte app of synchronisatiedienst en bevestig dat de grafiek daalt.
5. Daalt er niets, blijf dan andere apps en diensten onderzoeken, inclusief Software-update en iCloud.

Stap vier is de stap die mensen overslaan, en die scheidt een identificatie van een gok.

Waar een monitor past

Mole houdt de live netwerkdoorvoer in de menubalk naast CPU, geheugen en thermische staat, zodat een drukke verbinding zichtbaar is op het moment dat hij gebeurt in plaats van achteraf gereconstrueerd. Het meldt de doorvoer die het kan meten en installeert geen netwerkfilter om een geschiedenis per app te claimen die macOS niet levert.

Veelgestelde vragen

Waarom gebruikt mDNSResponder zoveel data?

Het zoekt namen op en handelt lokale netwerkontdekking af voor het hele systeem, dus het verkeer van veel andere processen wordt eraan toegerekend. Het downloadt niets van zichzelf.

Kan ik zien hoeveel data een app gisteren heeft gebruikt?

Niet vanuit macOS. Er is geen ingebouwde geschiedenis per app. Tools van derden die dit bieden, installeren een netwerkextensie om het verkeer zelf te zien.

Hoe vind ik wat data gebruikt op een hotspot?

Zet Databesparingsmodus aan voor dat netwerk in Systeeminstellingen › wifi › Details. Dat stopt meerdere achtergronddiensten, inclusief automatische updatedownloads. Gebruik daarna het nettop-verschil hierboven voor wat er overblijft.

Is hoge netwerkactiviteit een teken van malware?

Het is zelden het eerste teken, en de gebruikelijke verklaringen hierboven dekken bijna elk geval. Werk ze af voordat je gelijkmatig achtergrondverkeer als verdacht behandelt.