Palomuurin vuosiraportin kertomaa

Olen pitänyt vuodesta 2005 lähtien vanhaa Windows XP -konetta netissä palomuurin ulkopuolella. Koneella on suojanaan vain Windowsin oma vakiomuuri, eikä edes päivityksiä ole ajettu useaan vuoteen. IP-osoite on pysynyt koko ajan samana eikä ko. osoitteesta ole muuta liikennettä.

Laskin pikaisesti muutamia tilastoja viime vuoden liikenteestä. Excelin pivot-taulukointi on tehokas työväline, vaikka sen käyttö vaatiikin vähän opiskelua.

Vuosi 2013 palomuurin näkökulmasta.

Tilaston mukaan koneen portteja koputeltiin viime vuonna 59433 kertaa eli keskimäärin 163 kertaa vuorokaudessa. Loppukeväällä ja kesän alussa on kaksi outoa piikkiä, muutoin koputtelu on ollut hyvin tasaista.

Eniten yhteydenottoyrityksiä kohdistui porttiin 22 (ssh). Sen kannoilla on outo portti 14264. Kolmantena on 3389 (RDP, Microsoft Terminal Server), neljäntenä 5060 (SIP) ja viidentenä tilastossa näkyy ICMP, jolla ei ole varsinaista porttinumeroa.

Mielenkiintoista on, että aiemmin yleiset 445 (Windowsin levyjako) ja 135 (Microsoft Endpoint Mapper) ovat pudonneet kärkisijoilta. Se kertoo Windows-matojen häviämisestä.

Yleisin ip-osoite lokissa viittaa Tunisiaan, samoin kolmas. Tarkkoja ip-osoitteita ei välttämättä pysty selvittämään (keskisarake), koska lokimerkinnät voivat olla vuoden vanhoja. Oikeanpuoleisessa sarakkeessa on whois-palvelusta käsin etsitty tulos.

Eniten yhteydenottoja... Tunisiasta?

Espoolaisesta Medix-laboratoriosta on pommitettu testikoneen osoitetta 319 kertaa 30.9.2013 8:33 - 2.10.2013 7:51 välisenä aikana. Yritykset ovat kohdistuneet portteihin 445 ja 139, mikä kertoo saastuneesta Windows-koneesta. Ilmeisesti maanantaiaamuna tartunnan saanut kone on tunnistettu ja puhdistettu keskiviikkoaamuna. Lyhyessäkin ajassa aktiivinen haittaohjelma ehtii tehdä lukuisia yrityksiä.

Olisi kiinnostavaa verrata tuloksia edelliseen vuoteen, mutta koneen sammumisen vuoksi lokissa on usean kuukauden aukko.

Vuoden 2012 lokissa on aukko.

Datasta puuttuu 34 prosenttia, mikä vastaisi 41659 lokiriviä koko vuodelle. Porttien koputtelu on siis hieman lisääntynyt.

Pitkällä tähtäimellä tilanne on toinen. Vuoden 2007 tilasto (muutama päivä tammikuusta puuttuu) näyttää 60194 yhteydenottoa, joten takavuosista netin murtoyritykset ovat vähentyneet käyttäjämäärien kasvusta huolimatta.

Vuonna 2007 oli vilkasta.

Ainakin tältä osin netin turvallisuus on siis kehittynyt oikeaan suuntaan, vaikkei sitä uutisotsikoista uskoisikaan.