{"id":79489,"date":"2020-04-27T19:41:58","date_gmt":"2020-04-27T17:41:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/legkij-sposob-zashhitit-svoj-mikrotik-ot-atak"},"modified":"2020-04-27T19:41:58","modified_gmt":"2020-04-27T17:41:58","slug":"legkij-sposob-zashhitit-svoj-mikrotik-ot-atak","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/legkij-sposob-zashhitit-svoj-mikrotik-ot-atak","title":{"rendered":"Ein einfacher Weg, um Ihren Mikrotik vor Angriffen zu sch\u00fctzen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ich m\u00f6chte der Community eine einfache und funktionierende Methode vorstellen, wie man mit Mikrotik sein Netzwerk und die \u201eherausblickenden\u201c Dienste davor vor externen Angriffen sch\u00fctzen kann. Mit nur drei Regeln kann man auf dem Mikrotik einen Honeypot einrichten. <\/p>\n

Angenommen, wir haben ein kleines B\u00fcro, hinter dem eine RDP-Server steht, der f\u00fcr die Remote-Arbeit der Mitarbeiter genutzt wird. Die erste Regel ist nat\u00fcrlich, den Port 3389 auf der externen Schnittstelle auf einen anderen zu \u00e4ndern. Doch das h\u00e4lt nicht lange an \u2013 nach ein paar Tagen wird das Audit-Protokoll des Terminalservers zeigen, dass es mehrere fehlgeschlagene Authentifizierungsversuche pro Sekunde von unbekannten Kunden gibt. <\/p>\n

Eine andere Situation ist, wenn hinter Ihrem Mikrotik ein Asterisk versteckt ist, nat\u00fcrlich nicht am UDP-Port 5060, und nach ein paar Tagen beginnt auch hier das Durchprobieren von Passw\u00f6rtern\u2026 ja, ich wei\u00df, fail2ban ist unsere Rettung, aber da muss man noch ein bisschen daran arbeiten\u2026 Ich habe k\u00fcrzlich einen auf Ubuntu 18.04 installiert und war \u00fcberrascht zu entdecken, dass fail2ban standardm\u00e4\u00dfig keine aktuellen Einstellungen f\u00fcr Asterisk aus derselben Ubuntu-Version enth\u00e4lt\u2026 und schnelles Googeln nach \u201eRezepten\u201c f\u00fcr die Konfiguration funktioniert nicht mehr, die Versionsnummern steigen mit den Jahren, und die Artikel mit \u201eRezepten\u201c f\u00fcr alte Versionen funktionieren nicht mehr, w\u00e4hrend neue rar ges\u00e4t sind\u2026 Aber ich schweife ab...
\n<\/a><\/noindex>
\nWas ist also ein Honeypot in zwei Worten? Es ist eine Falle, in unserem Fall irgendein beliebter Port auf der externen IP-Adresse. Jede Anfrage an diesen Port von einem externen Client f\u00fchrt dazu, dass die Quelladresse auf die schwarze Liste gesetzt wird. Das war's.<\/p>\n

\/ip firewall filter\nadd action=add-src-to-address-list address-list="Honeypot Hacker" \n    address-list-timeout=30d0h0m chain=input comment="block honeypot ssh rdp winbox" \n    connection-state=new dst-port=22,3389,8291 in-interface=\n    ether4-wan protocol=tcp\nadd action=add-src-to-address-list address-list="Honeypot Hacker" \n    address-list-timeout=30d0h0m chain=input comment=\n    "block honeypot asterisk" connection-state=new dst-port=5060 \n    in-interface=ether4-wan protocol=udp \n\/ip firewall raw\nadd action=drop chain=prerouting in-interface=ether4-wan src-address-list=\n    "Honeypot Hacker"\n<\/code><\/pre>\n
\nDie erste Regel f\u00fcr die beliebten TCP-Ports 22, 3389 und 8291 der externen Schnittstelle ether4-wan setzt die IP-Adresse des \u201eG\u00e4sten\u201c auf die Liste \u201eHoneypot Hacker\u201c (Ports f\u00fcr SSH, RDP und Winbox sind im Voraus deaktiviert oder auf andere ge\u00e4ndert). Die zweite Regel macht das Gleiche f\u00fcr den beliebten UDP-Port 5060.<\/p>\n
Die dritte Regel verwirft in der Vorrouting-Phase die Pakete von \u201eG\u00e4sten\u201c, deren Quelladresse auf die Liste \u201eHoneypot Hacker\u201c gesetzt wurde.<\/p>\n
Nach zweiw\u00f6chiger Nutzung meines Heim-Mikrotiks umfasst die Liste \u201eHoneypot Hacker\u201c etwa 1500 IP-Adressen von Personen, die meine Netzwerkressourcen \u201eauskundschaften\u201c m\u00f6chten (zu Hause nutze ich meine eigene Telefonie, E-Mail, Nextcloud, RDP). Die Brute-Force-Angriffe haben aufgeh\u00f6rt, es herrscht jetzt Wohlstand. <\/p>\n
Bei der Arbeit ist es jedoch nicht so einfach, dort wird der RDP-Server weiterhin durch Passwortversuche angegriffen.<\/p>\n
Offensichtlich wurde die Portnummer von einem Scanner lange vor dem Einschalten des Honeypots bestimmt, und w\u00e4hrend der Quarant\u00e4ne ist es nicht einfach, \u00fcber 100 Benutzer umzuprogrammieren, von denen 20 % \u00fcber 65 Jahre alt sind. Wenn der Port nicht ge\u00e4ndert werden kann, gibt es ein kleines funktionierendes Rezept. \u00c4hnliches habe ich im Internet gesehen, aber hier gibt es zus\u00e4tzliche Anpassungen und Feinabstimmungen: <\/p>\n
                        Regeln zur Konfiguration von Port Knocking<\/b><\/p>\n
 \/ip firewall filter\nadd action=add-src-to-address-list address-list=rdp_blacklist \n    address-list-timeout=15m chain=forward comment=rdp_to_blacklist \n    connection-state=new dst-port=3389 protocol=tcp src-address-list=\n    rdp_stage12\nadd action=add-src-to-address-list address-list=rdp_stage12 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage11\nadd action=add-src-to-address-list address-list=rdp_stage11 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage10\nadd action=add-src-to-address-list address-list=rdp_stage10 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage9\nadd action=add-src-to-address-list address-list=rdp_stage9 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage8\nadd action=add-src-to-address-list address-list=rdp_stage8 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage4\nadd action=add-src-to-address-list address-list=rdp_stage7 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage6\nadd action=add-src-to-address-list address-list=rdp_stage6 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage5\nadd action=add-src-to-address-list address-list=rdp_stage5 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=\n    3389 protocol=tcp src-address-list=rdp_stage4\nadd action=add-src-to-address-list address-list=rdp_stage4 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=\n    3389 protocol=tcp src-address-list=rdp_stage3\nadd action=add-src-to-address-list address-list=rdp_stage3 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage2\nadd action=add-src-to-address-list address-list=rdp_stage2 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage1\nadd action=add-src-to-address-list address-list=rdp_stage1 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp \n\/ip firewall raw\nadd action=drop chain=prerouting in-interface=ether4-wan src-address-list=\nrdp_blacklist\n<\/code><\/pre>\n
\nIn 4 Minuten darf der entfernte Client nur 12 neue \u201eAnfragen\u201c an RDP stellen. zu einem Server<\/a>. Ein Anmeldeversuch entspricht 1 bis 4 \u201eAnfragen\u201c. Bei der 12. \u201eAnfrage\u201c erfolgt eine Sperre f\u00fcr 15 Minuten. In meinem Fall haben die Angreifer mit dem Hacken des Servers nicht aufgeh\u00f6rt, sondern sich an die Timer angepasst und tun dies jetzt sehr langsam; diese Geschwindigkeit reduziert die Effektivit\u00e4t des Angriffs auf null. Die Mitarbeiter des Unternehmens haben durch die getroffenen Ma\u00dfnahmen kaum Unannehmlichkeiten in der Arbeit. <\/p>\n
                        Noch ein kleiner Trick<\/b>
\n                         Diese Regel wird planm\u00e4\u00dfig um 1 Uhr nachts aktiviert und um 5 Uhr ausgeschaltet, wenn die Menschen sicher schlafen und die automatisierten Scanner weiterhin wach sind.<\/p>\n
\/ip firewall filter \nadd action=add-src-to-address-list address-list=rdp_blacklist \n    address-list-timeout=1w0d0h0m chain=forward comment=\n    "night_rdp_blacklist" connection-state=new disabled=\n    yes dst-port=3389 protocol=tcp src-address-list=rdp_stage8<\/code><\/pre>\n
\nBereits bei der 8. Verbindung wird die IP-Adresse des Angreifers f\u00fcr eine Woche auf die schwarze Liste gesetzt. Sch\u00f6n!<\/p>\n
Au\u00dferdem f\u00fcge ich einen Link zu einem Wiki-Artikel hinzu, der eine funktionierende Konfiguration zum Schutz von MikroTik gegen Netzcanner beschreibt. wiki.mikrotik.com\/wiki\/Drop_port_scanners<\/a><\/noindex><\/p>\n
Auf meinen Ger\u00e4ten funktioniert diese Einstellung zusammen mit den oben beschriebenen Honeypot-Regeln und erg\u00e4nzt sie gut.<\/p>\n
UPD: Wie in den Kommentaren vorgeschlagen wurde, wurde die Paketdroph-Regel in RAW verschoben, um die Belastung des Routers zu reduzieren.
\n
Quelle: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0425\u043e\u0447\u0443 \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u0441 \u0441\u043e\u043e\u0431\u0449\u0435\u0441\u0442\u0432\u043e\u043c \u043f\u0440\u043e\u0441\u0442\u044b\u043c \u0438 \u0440\u0430\u0431\u043e\u0447\u0438\u043c \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u043c, \u043a\u0430\u043a \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 Mikrotik \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u0441\u0432\u043e\u044e \u0441\u0435\u0442\u044c \u0438 \u00ab\u0432\u044b\u0433\u043b\u044f\u0434\u044b\u0432\u0430\u044e\u0449\u0438\u0435\u00bb \u0438\u0437-\u0437\u0430 \u043d\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u043e\u0442 \u0432\u043d\u0435\u0448\u043d\u0438\u0445 \u0430\u0442\u0430\u043a. \u0410 \u0438\u043c\u0435\u043d\u043d\u043e \u0432\u0441\u0435\u0433\u043e \u0442\u0440\u0435\u043c\u044f \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c\u0438 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043d\u0430 \u041c\u0438\u043a\u0440\u043e\u0442\u0438\u043a\u0435 honeypot. \u0418\u0442\u0430\u043a, \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043c, \u0447\u0442\u043e \u0443 \u043d\u0430\u0441 \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u043e\u0439 \u043e\u0444\u0438\u0441, \u0432\u043d\u0435\u0448\u043d\u0438\u0439 IP \u0437\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0441\u0442\u043e\u0438\u0442 RDP \u0441\u0435\u0440\u0432\u0435\u0440, \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u043e\u0432 \u043f\u043e \u0443\u0434\u0430\u043b\u0435\u043d\u043a\u0435. \u041f\u0435\u0440\u0432\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u044d\u0442\u043e \u043a\u043e\u043d\u0435\u0447\u043d\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-79489","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Ein einfacher Weg, um Ihr MikroTik vor Angriffen zu sch\u00fctzen | ProHoster","description":"Ich m\u00f6chte der Community eine einfache und funktionierende Methode zeigen, wie man Netzwerke und die \u201eherausblickenden\u201c Dienste dahinter mit Hilfe von MikroTik vor externen Angriffen sch\u00fctzen kann.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/legkij-sposob-zashhitit-svoj-mikrotik-ot-atak","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041b\u0435\u0433\u043a\u0438\u0439 \u0441\u043f\u043e\u0441\u043e\u0431 \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u0441\u0432\u043e\u0439 Mikrotik \u043e\u0442 \u0430\u0442\u0430\u043a | ProHoster","og:description":"\u0425\u043e\u0447\u0443 \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u0441 \u0441\u043e\u043e\u0431\u0449\u0435\u0441\u0442\u0432\u043e\u043c \u043f\u0440\u043e\u0441\u0442\u044b\u043c \u0438 \u0440\u0430\u0431\u043e\u0447\u0438\u043c \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u043c, \u043a\u0430\u043a \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 Mikrotik \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u0441\u0432\u043e\u044e \u0441\u0435\u0442\u044c \u0438 \u00ab\u0432\u044b\u0433\u043b\u044f\u0434\u044b\u0432\u0430\u044e\u0449\u0438\u0435\u00bb \u0438\u0437-\u0437\u0430 \u043d\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u043e\u0442 \u0432\u043d\u0435\u0448\u043d\u0438\u0445 \u0430\u0442\u0430\u043a.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/legkij-sposob-zashhitit-svoj-mikrotik-ot-atak","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-04-27T17:41:58+00:00","article:modified_time":"2020-04-27T17:41:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"79489","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 16:37:23","updated":"2026-02-09 21:41:53","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/79489","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=79489"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/79489\/revisions"}],"predecessor-version":[{"id":160157,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/79489\/revisions\/160157"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=79489"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=79489"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=79489"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}