Lihtne viis kaitsta oma Mikrotik'i rünnakute eest

Soovin jagada kogukonnaga lihtsat ja toimivat viisi, kuidas Mikrotiki abil kaitsta oma võrku ja selle kaudu kätketeenuseid väliste rünnakute eest. Nimelt kolmel reeglil organiseerida Mikrotikis honeypot.

Kujutame nüüd ette, et meil on väike kontor, mille välise IP taga asub RDP-server, millega töötajad saavad kaugjuurdepääsu. Esimene reegel on muidugi muuta pordiks 3389, et välisel liidesel kasutada teist porti. Kuid see ei kesta kaua, paar päeva pärast hakkab terminserveri auditilogi näitama mitmeid ebaõnnestunud autentimise katseid sekundis tundmatelt klientidelt.

Teine olukord on see, et teil on Mikrotiki taga asterisk, loomulikult mitte 5060 udp pordil, ja paar päeva pärast algab ka paroolide proovimine… jah, jah, ma tean, fail2ban on meie kõik, kuid sellega tuleb veel vaeva näha… näiteks tõstsin hiljuti selle ubuntu 18.04-sse ja hämmastuseks avastasin, et fail2ban ei sisalda kastist välja võetuna asteriski jaoks ajakohaseid seadeid sama versiooniga ubuntu distributsioonis… ja kiirete „retseptide“ seadistamise leidmine Google’ist ei õnnestu, kuna numbrid versioonides kasvavad iga aastaga, kuid vanemate versioonide jaoks pole enam artikleid ja uusi on väga vähe… Kuid ma kaldusin teemast kõrvale…

Nii et, mis on honeypot kahe sõnaga — see on lõks, meie juhul mõni populaarne port välisel IP-l, iga päring sellele pordile väliselt kliendilt saadab src-aadressi musta nimekirja. Kõik.

/ip firewall filter
add action=add-src-to-address-list address-list="Honeypot Hacker" 
    address-list-timeout=30d0h0m chain=input comment="block honeypot ssh rdp winbox" 
    connection-state=new dst-port=22,3389,8291 in-interface=
    ether4-wan protocol=tcp
add action=add-src-to-address-list address-list="Honeypot Hacker" 
    address-list-timeout=30d0h0m chain=input comment=
    "block honeypot asterisk" connection-state=new dst-port=5060 
    in-interface=ether4-wan protocol=udp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=
    "Honeypot Hacker"

Esimene reegel populaarsetel TCP pordidel 22, 3389, 8291 välisel liidesel ether4-wan saadab IP „külalist“ nimekirja „Honeypot Hacker“ (pordid ssh, rdp ja winbox on eelnevalt välja lülitatud või muudetud teistsugustele). Teine teeb sama populaarse UDP 5060 puhul.

Kolmas reegel rippib preroottimise staadiumis pakette „külalistelt“, kelle srs-aadress on sattunud „Honeypot Hacker“ nimekirja.

Pärast kahte nädalat minu koduse Mikrotiki töötamist sisaldas „Honeypot Hacker“ nimekiri umbes tuhandet viit sada IP-aadressi, kes armastavad mu võrguressursse „katsuda“ (kodune telefonivõrk, e-post, nextcloud, rdp). Brute-force rünnakud lakkasid, kõik muutus mugavaks.

Tööl ei olnud kõik nii lihtne, seal üritatakse RDP-serverit jätkuvalt paroolide proovimisega murda.

Tundub, et porti number määrati skanneriga kaua enne honeypoti sisselülitamist ja karantiini ajal ei ole üle 100 kasutaja, kellest 20% on üle 65 aasta vanad, ümber seadistamine kuigi lihtne. Kui porti ei saa muuta, on olemas väike töötav retsept. Sarnast olen internetis kohanud, kuid siin on tegemist väikse kohandamise ja peene seadistusega:

Port Knocking seadistamise reeglid

 /ip firewall filter
add action=add-src-to-address-list address-list=rdp_blacklist 
    address-list-timeout=15m chain=forward comment=rdp_to_blacklist 
    connection-state=new dst-port=3389 protocol=tcp src-address-list=
    rdp_stage12
add action=add-src-to-address-list address-list=rdp_stage12 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage11
add action=add-src-to-address-list address-list=rdp_stage11 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage10
add action=add-src-to-address-list address-list=rdp_stage10 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage9
add action=add-src-to-address-list address-list=rdp_stage9 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage8
add action=add-src-to-address-list address-list=rdp_stage8 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage7 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage6
add action=add-src-to-address-list address-list=rdp_stage6 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage5
add action=add-src-to-address-list address-list=rdp_stage5 
    address-list-timeout=4m chain=forward connection-state=new dst-port=
    3389 protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage4 
    address-list-timeout=4m chain=forward connection-state=new dst-port=
    3389 protocol=tcp src-address-list=rdp_stage3
add action=add-src-to-address-list address-list=rdp_stage3 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage2
add action=add-src-to-address-list address-list=rdp_stage2 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage1
add action=add-src-to-address-list address-list=rdp_stage1 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=
rdp_blacklist

Kauklient saab 4 minuti jooksul teha ainult 12 uut "taotlust" RDP-le serveri. Üks sisenemiskatse on 1 kuni 4 "taotlust". 12. "taotluse" puhul - blokeeritakse 15 minutiks. Minu puhul ei lakanud ründajad serveri häkkimisest, vaid kohandusid ajastuseni ja nüüd teevad seda väga aeglaselt, see kiirus vähendab rünnaku efektiivsuse nulli. Ettevõtte töötajad ei tunne padrõesed ebamugavusi.

Veel üks väike nipp
See reegel aktiveeritakse kell 1 öösel ja deaktiveeritakse kell 5, kui elavad inimesed magavad, samal ajal kui automatiseeritud skannerid jätkavad tegevust.

/ip firewall filter 
add action=add-src-to-address-list address-list=rdp_blacklist 
    address-list-timeout=1w0d0h0m chain=forward comment=
    "night_rdp_blacklist" connection-state=new disabled=
    yes dst-port=3389 protocol=tcp src-address-list=rdp_stage8

Juba 8. ühenduse korral läheb ründaja IP musta nimekirja nädalaks. Ilus!

Ja lisaks eelöeldule jagan linki Wiki artiklile, kus on töökas Mikrotiki kaitse seadistus võrgu skannerite eest. wiki.mikrotik.com/wiki/Drop_port_scanners

Minu seadmetes töötab see seadistus koos ülaltoodud honeypoti reeglitega, täiustades neid.

UPD: Nagu kommentaarides öeldi, on pakettide äraviskamise reegel viidud RAW-i, et vähendada ruuteri koormust.

Allikas: habr.com