Приветствую, сетевое программрование начал изучать недавно и сталкнулся с проблемой

 - необходимо из уровня пользователя (ring3) каким-то образом узнавать о сознании нового сокета в системе.

Начал было разбирать TDI чтобы создавать callback на драйвер afd.sys (на событие - установление нового соединения). Но понял что вроде TDI программируют только с уровня ядра, теперь вот разбираюсь с функцией DeviceIoControl, но что-то не очень получается   

Кто в теме подскажите пожалуйста, куда копать?

ps: получать список открытых сокетов научился, просто нужно мониторить создание новых.

С уровня пользователя наверно можно думать в двух направлениях
1. Парсить исходящие и приходящие от сервера TCP-сегменты с флагом SYN 
2. Проверять таблицу TCP-соединений на предмет появления новой записи