在Splunk（来自防火墙）中显示从一个服务器到非现有专用（RFC1918）networking中的非现有主机的阻塞连接尝试。 然后，我在该服务器上启动procmon，将该连接尝试与进程关联起来。 我怀疑这与我们的备份软件代理有关。
连接尝试在10分钟后像以前一样出现在splunk中，但是它并没有出现在procmon中。 然后，我开始在那台服务器上使用wireshark，10分钟后，我可以通过服务器上的wireshark捕获这个stream量。
这有点奇怪。 这似乎不是恶意软件的行为。 C2服务器将位于互联网上，而不是在专用networking中，当我启动wireshark或procmon时，通信不会停止。 但是它的奇怪呢。 有人能为此提出一个合理的解释吗？
这不是一个虚拟主机顺便说一句。