S-lippu tarkoittaa sitä, että koneeseesi on yritetty ottaa yhteyttä. S tulee lyhtenteestä SYN, jolla tarkoitetaan TCP-segmentillä tehtyä yhteyden avaamista. Pelkkä tieto SYN-pakettien saapumisesta ei vielä kerro mitään mahdollisista haittaohjelmista tai murtoyrityksistä.
Jotta tilannettasi voisi tutkailla vähän tarkemmin, olisi palomuurin lokista selvitettävä mistä IP-paketti on tullut ja mihin kohdeporttiin se on suunnattu. Esimerkiksi porttiin 80 kohdistettu huhuilu tarkoittaa tavallisesti www-palveluun pyrkimistä. Bit Torrent puolestaan käyttää 6881 - 6889 portteja ja DC++ porttia 1412. Nämä arvot eivät kuitenkaan ole kiveenkirjoitettuja.
Miksi portti on oleellinen? Jos koneesi saama IP-osoite on dynaaminen, niin se vaihtuu aina välillä. Mikäli osoitteen edellinen käyttäjä on ollut yhteydessä johonkin P2P-verkkoon, osa verkon jäsenistä yrittää tavoitella edellistä konetta. Jos itse käytät jotain P2P-ohjelmaa, koneellesi tulee yhteydenottoja muilta verkon käyttäjiltä.
Voi tietysti olla, että jokin mato tai krakkeri yrittää koneesi kimppuun. Tässä tapauksessa ei ole hätää, sillä palomuuri toimii juuri kuten pitääkin. Jos lokeihin tulee liikaa hälytyksiä, säädä asetuksia niin, että merkintöjä tehdään vähemmän.
