如何实现反隐藏端口？

在win2000下，我sinffer发现一个端口在通讯，但用fport没有看见端口，我怀疑是端口被木马隐藏了，请问下怎么实现反隐藏。
我思路如下：
1、拦截NtQuerySystemInfomation、ZwDeviceIoControlFile？
2、对\\Device\\Tcp 与 \\Device\\Udp进行IRP接管
请问这样实现有什么问题么，还有什么好办法