Palomuurin vuosiraportti 2020

Olen  usean vuoden ajan seurannut palomuuriin tulevia "koputuksia". Ne eivät ole vakavia kyberhyökkäyksiä tai tietomurtoja, pikemminkin satunnaista testausta, mistä löytyy avoimia laitteita. Koska IP-osoite on kiinteä eikä siitä ole mitään lähtevää liikennettä, vertailu eri vuosien välillä kuvaa nettiliikenteessä tapahtuneita muutoksia. 

Vuoden 2019 seuranta tosin epäonnistui, sillä edeltävään vuoteen verrattuna liikenne kasvoi niin paljon, että loki ehti täyttyä ja vain puolet vuoden koputuksista saatiin talteen. Niistä laskettu vuorokauden keskiarvo oli 4166 koputusta. Harppaus oli melkoinen, sillä 2018 koputuksia oli vuorokaudessa keskimäärin vain 2548. 

Vuonna 2020 koputukset lisääntyivät edelleen 49 prosentilla ja niitä oli 6194 kappaletta vuorokaudessa. 

Palomuurin lokirivit kuukausittain.

Jostain syystä marraskuu nousee muita selvästi aktiivisemmaksi, samoin heinä- ja huhtikuut. 

Palomuuri viikoittain.

Kuukausipiikit näyttävät johtuvan viikkopiikeistä: viikot 18, 27, 45 ja 48 olivat erityisen aktiivisia. Ilmeisesti silloin levisi jokin iot-haittaohjelma, sillä niiden käyttämä Telnet-protokolla johtaa protokollalistaa.

Koputukset protokollaportin mukaan.

Erityisen paljon kokeiluja kohdistui portteihin 23 (Telnet) sekä Windowsin tiedostojakoporttiin 445 (SMB). Myös vanha suosikki 1433 (MS SQL) roikkuu edelleen mukana. Http on pudonnut sijalle neljä ja ssh sijalle kuusi. 

Prosentteina Telnet nyt 5,6 % kaikista (vuosi sitten 8,5 %), SMB 5,2 % (1,9 %), SQL 2,4 % (1,5 %), http 1,2 % (1,5 %) ja ssh 1,1 % (1,1 %).Telnetin osuus on siis laskenut, tiedostojen jaon selvästi noussut. 

Kiinnostavia ovat Ethereumin käyttämä 8545, Memcached-välimuistiohjelman 11211 sekä MikroTik-reitittimiin yhdistetty 8291. MikroTik tuli tunnetuksi NSA:n sille räätälöimän vakoiluohjelman ansiosta. 

Vuoden 2007 tilastossa liikennettä oli yhteensä saman verran kuin nyt yhdestä ainoasta IP-osoitteesta. Los Angelesissa sijaitsevalle DediPath-nimiselle operaattorille kuuluvasta osoitteesta tuli 61 357 yritystä. Seuraavina olivat IP Volume sekä kolumbialainen Network Dedicated SAS. 

Sitten tuli pari venäläistä verkkoa ja Arbor Observatory, jonka IP-osoite 146.88.240.4 on listattu myös Blackhat Directoryssa: https://www.blackhat.directory/ip/146.88.240.4 monenlaisten hyökkäysten lähteenä.

Arbor Observatory ei ole tähtikaukoputki vaan verkon tietoturvapuutteita skannaava yritys ja sen Netscout-palvelu. Osoitteesta on tullut yrityksiä vuoden 2020 jokaisena päivänä, useilla eri protokollilla, yhteensä 11766 kertaa. Aikaeron huomioiden koputukset ovat tapahtuneet amerikkalaiseen virka-aikaan.

Jos yksittäistä ip-osoitetta on "pommitettu" vuodessa yli kymmentuhatta kertaa, ja sama pommitus on kohdistettu tasaisesti kaikkiin neljään miljardiin osoitteeseen, heidän tuottamansa kokonaisliikenteen täytyy olla huima. Vastaava piikki aiheutui joitakin vuosia sitten Shodan-hakukoneesta.

Koputuksia/vrk eri vuosina

Vuositasolla liikennemäärä on hypähtänyt ylöspäin erityisesti vuosina 2016, 2019 ja 2020.

F-Secure Sense toimii kellona, mutta on muuten pettymys

Harvoin tulee vastaan digilaitteita, jotka ovat odotuksiin nähden yhtä suuria pettymyksiä kuin F-Securen Sense. Kodin älylaitteiden palomuuriksi mainostettu Sense esiteltiin jo vuonna 2015, mutta sen valmistuminen myöhästyi pahasti ja toimitukset alkoivat vasta kesäkuussa 2017.

Hankin laitteen heti tuoreeltaan syksyllä 2017 ja testasin sitä aktiivisesti. Pettymys oli kuitenkin suuri, sillä varsinaisia älyominaisuuksia ei ollut. Niiden luvattiin tulevan päivityksinä, mutta nyt kaksi vuotta myöhemmin niitä odotetaan yhä. Vaikuttaa siltä, että Sensen kehitys on käytännössä loppunut.

Niinpä oma Senseni on jäänyt nököttämään toimiston laitepöydälle ja se toimii lähinnä digitaalisena kellona. Onhan se toki tyylikäs, mutta kelloksi 190 euron hinta on turhan kova.

F-Secure Sense toimii digitaalisena kellona, muuta käyttöä on vaikea keksiä.

Sensen ensimmäinen ongelma on puuttuva modeemi. Sense pitää kytkeä 4G- tai laajakaistamodeemin perään, jolloin "tietoturvareitittimeksi" mainostettu laite on jo itse palomuurin takana. Tarvitaan kaksi laitetta eikä Sensen palomuuriominaisuuksista ole juuri hyötyä.

Ominaisuuksiltaan Sense oli keskeneräinen, siitä puuttui aluksi mm. vierasverkko ja VPN. Ilmeisesti vierasverkko on sittemmin lisätty, mutta koska laitteen hallinta sidotaan asennuksessa yhteen älypuhelimeen, en pääse enää hallitsemaan laitetta -- kyseisen puhelimen näyttö kun meni pimeäksi. Ainoa keino saada Sense takaisin hallintaan olisi resetoida se ja tehdä asennus uudelleen.

Modernien wifi-purkkien tapaan se päivittää automaattisesti oman firmwarensa, mikä on hyvä asia. Sama ominaisuus on kuitenkin kaikilla kilpailijoilla.

Järjestelmäloki näyttää automaattiset firmware-päivitykset.

Ymmärtääkseni alussa luvattua tärkeintä ominaisuutta ei koskaan tullut. Sensen piti tarkkailla kodin älylaitteita ja estää niiden luvaton toiminta tai kaappaaminen esimerkiksi palvelunestohyökkäysten alustaksi. Nyt Sense toimii vain kevyenä wifi-tukiasemana, jonka hallinta on älypuhelinriippuvuuden vuoksi hankalaa ja tekniset ominaisuudet vaatimattomia.

Sensen tärkein tavoite tuntuu olevan F-Securen tietoturvaohjelman myynti. Purkki tarkkailee nettiliikennettä ja estää pääsyn haitallisille sivuille, kuten Freedome-ohjelmakin. Kumpikaan ei kerro, miksi sivut on luokiteltu haitallisiksi, mutta ehkä peruskäyttäjä ei sillä tiedolla mitään tekisikään.

Sense on käytännössä keino tietoturvaohjelman vuositilauksen myymiseen.

Kun osoitteita ei perustella, "Estetyt uhat" näyttää nopeasti pelottavia lukemia, mutta on vaikea tietää niiden todellista riskiä. Itse en tilannut vuosimaksullista tietoturvapalvelua, joten koeajan umpeutumisen jälkeen se lienee lakannut toimimasta.

Kello sentään toimii vielä.

Toivottavasti seuraava kotimainen yrittäjä lunastaa lupaukset paremmin.

Palomuurin vuosiraportin kertomaa

Olen pitänyt vuodesta 2005 lähtien vanhaa Windows XP -konetta netissä palomuurin ulkopuolella. Koneella on suojanaan vain Windowsin oma vakiomuuri, eikä edes päivityksiä ole ajettu useaan vuoteen. IP-osoite on pysynyt koko ajan samana eikä ko. osoitteesta ole muuta liikennettä.

Laskin pikaisesti muutamia tilastoja viime vuoden liikenteestä. Excelin pivot-taulukointi on tehokas työväline, vaikka sen käyttö vaatiikin vähän opiskelua.

Vuosi 2013 palomuurin näkökulmasta.

Tilaston mukaan koneen portteja koputeltiin viime vuonna 59433 kertaa eli keskimäärin 163 kertaa vuorokaudessa. Loppukeväällä ja kesän alussa on kaksi outoa piikkiä, muutoin koputtelu on ollut hyvin tasaista.

Eniten yhteydenottoyrityksiä kohdistui porttiin 22 (ssh). Sen kannoilla on outo portti 14264. Kolmantena on 3389 (RDP, Microsoft Terminal Server), neljäntenä 5060 (SIP) ja viidentenä tilastossa näkyy ICMP, jolla ei ole varsinaista porttinumeroa.

Mielenkiintoista on, että aiemmin yleiset 445 (Windowsin levyjako) ja 135 (Microsoft Endpoint Mapper) ovat pudonneet kärkisijoilta. Se kertoo Windows-matojen häviämisestä.

Yleisin ip-osoite lokissa viittaa Tunisiaan, samoin kolmas. Tarkkoja ip-osoitteita ei välttämättä pysty selvittämään (keskisarake), koska lokimerkinnät voivat olla vuoden vanhoja. Oikeanpuoleisessa sarakkeessa on whois-palvelusta käsin etsitty tulos.

Eniten yhteydenottoja... Tunisiasta?

Espoolaisesta Medix-laboratoriosta on pommitettu testikoneen osoitetta 319 kertaa 30.9.2013 8:33 - 2.10.2013 7:51 välisenä aikana. Yritykset ovat kohdistuneet portteihin 445 ja 139, mikä kertoo saastuneesta Windows-koneesta. Ilmeisesti maanantaiaamuna tartunnan saanut kone on tunnistettu ja puhdistettu keskiviikkoaamuna. Lyhyessäkin ajassa aktiivinen haittaohjelma ehtii tehdä lukuisia yrityksiä.

Olisi kiinnostavaa verrata tuloksia edelliseen vuoteen, mutta koneen sammumisen vuoksi lokissa on usean kuukauden aukko.

Vuoden 2012 lokissa on aukko.

Datasta puuttuu 34 prosenttia, mikä vastaisi 41659 lokiriviä koko vuodelle. Porttien koputtelu on siis hieman lisääntynyt.

Pitkällä tähtäimellä tilanne on toinen. Vuoden 2007 tilasto (muutama päivä tammikuusta puuttuu) näyttää 60194 yhteydenottoa, joten takavuosista netin murtoyritykset ovat vähentyneet käyttäjämäärien kasvusta huolimatta.

Vuonna 2007 oli vilkasta.

Ainakin tältä osin netin turvallisuus on siis kehittynyt oikeaan suuntaan, vaikkei sitä uutisotsikoista uskoisikaan.