netstat com a opção -p mostra quais programas estão ouvindo quais portas ou usar conexões de rede a qualquer momento. Ele mostra o estado da conexão, o endereço do outro lado, etc. -n switch (não resolve endereços IP) torna muito mais rápido. A execução com sudo geralmente mostrará mais conexões, mas se você estiver interessado apenas em um programa iniciado com o usuário atual, não será necessário.
Pode ser complicado "pegar" um programa abrindo uma conexão de curta duração. Alguns frontends de firewall podem ajudar com isso, por exemplo firestarter .
Para ver os dados reais enviados pela conexão wireshark permite capturar e estudar o tráfego de rede.