דרך קלה להגן על המיקרוטיק שלך מפני התקפות

אני רוצה לשתף את הקהילה בדרך פשוטה ועובדת כיצד להשתמש במיקרוטיק כדי להגן על הרשת שלך ועל השירותים "מציצים" מאחוריה מפני התקפות חיצוניות. כלומר, רק שלושה כללים לארגון סיר דבש במיקרוטיק.

אז בואו נדמיין שיש לנו משרד קטן, עם IP חיצוני שמאחוריו יש שרת RDP לעובדים לעבודה מרחוק. הכלל הראשון הוא, כמובן, לשנות את היציאה 3389 בממשק החיצוני לממשק אחר. אבל זה לא יימשך זמן רב; לאחר מספר ימים, יומן הביקורת של שרת המסוף יתחיל להציג מספר הרשאות כושלות בשנייה מלקוחות לא ידועים.

מצב אחר, מסתתרת לך כוכבית מאחורי Mikrotik, כמובן לא ביציאת udp 5060, ואחרי כמה ימים גם חיפוש הסיסמא מתחיל... כן, כן, אני יודע, fail2ban זה הכל שלנו, אבל אנחנו עדיין צריכים תעבוד על זה... למשל, לאחרונה התקנתי את זה ב-ubuntu 18.04 והופתעתי לגלות שמחוץ לקופסה fail2ban לא מכיל הגדרות עדכניות לכוכבית מאותה קופסה של אותה הפצת אובונטו... וגוגל הגדרות מהירות עבור "מתכונים" מוכנים כבר לא עובדים, המספרים של שחרורים הולכים וגדלים עם השנים, ומאמרים עם "מתכונים" לגרסאות ישנות כבר לא עובדות, וחדשות כמעט אף פעם לא מופיעות... אבל אני סוטה...

אז מה זה Honeypot בקצרה - זה Honeypot, במקרה שלנו, כל פורט פופולרי ב-IP חיצוני, כל בקשה ליציאה הזו מלקוח חיצוני שולחת את כתובת ה-src לרשימה השחורה. את כל.

/ip firewall filter
add action=add-src-to-address-list address-list="Honeypot Hacker" 
    address-list-timeout=30d0h0m chain=input comment="block honeypot ssh rdp winbox" 
    connection-state=new dst-port=22,3389,8291 in-interface=
    ether4-wan protocol=tcp
add action=add-src-to-address-list address-list="Honeypot Hacker" 
    address-list-timeout=30d0h0m chain=input comment=
    "block honeypot asterisk" connection-state=new dst-port=5060 
    in-interface=ether4-wan protocol=udp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=
    "Honeypot Hacker"

הכלל הראשון ביציאות TCP פופולריות 22, 3389, 8291 של הממשק החיצוני ether4-wan שולח את ה-IP "אורח" לרשימת "Honeypot Hacker" (יציאות עבור ssh, rdp ו-winbox מושבתות מראש או משתנות לאחרות). השני עושה את אותו הדבר ב-UDP 5060 הפופולרי.

הכלל השלישי בשלב ה-pre-routing מוריד מנות מ"אורחים" שכתובת ה-srs-srs שלהם כלולה ב-"Honeypot Hacker".

לאחר שבועיים של עבודה עם מיקרוטיק הביתי שלי, רשימת ה"Honeypot Hacker" כללה כאלף וחצי כתובות IP של אלה שאוהבים "להחזיק בעטין" את משאבי הרשת שלי (בבית יש טלפוניה משלי, דואר, nextcloud, rdp). התקפות כוח גסות נעצרו, האושר הגיע.

בעבודה, לא הכל התברר כל כך פשוט, שם ממשיכים לשבור את שרת ה-rdp על ידי סיסמאות בכוח.

ככל הנראה, מספר היציאה נקבע על ידי הסורק הרבה לפני הפעלת כלי הדבש, ובמהלך ההסגר לא כל כך קל להגדיר מחדש יותר מ-100 משתמשים, מתוכם 20% מעל גיל 65. במקרה שבו לא ניתן לשנות את היציאה, יש מתכון קטן לעבודה. ראיתי משהו דומה באינטרנט, אבל יש תוספת נוספת וכוונון עדין מעורבים:

כללים להגדרת דפיקת יציאה

 /ip firewall filter
add action=add-src-to-address-list address-list=rdp_blacklist 
    address-list-timeout=15m chain=forward comment=rdp_to_blacklist 
    connection-state=new dst-port=3389 protocol=tcp src-address-list=
    rdp_stage12
add action=add-src-to-address-list address-list=rdp_stage12 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage11
add action=add-src-to-address-list address-list=rdp_stage11 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage10
add action=add-src-to-address-list address-list=rdp_stage10 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage9
add action=add-src-to-address-list address-list=rdp_stage9 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage8
add action=add-src-to-address-list address-list=rdp_stage8 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage7 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage6
add action=add-src-to-address-list address-list=rdp_stage6 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage5
add action=add-src-to-address-list address-list=rdp_stage5 
    address-list-timeout=4m chain=forward connection-state=new dst-port=
    3389 protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage4 
    address-list-timeout=4m chain=forward connection-state=new dst-port=
    3389 protocol=tcp src-address-list=rdp_stage3
add action=add-src-to-address-list address-list=rdp_stage3 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage2
add action=add-src-to-address-list address-list=rdp_stage2 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage1
add action=add-src-to-address-list address-list=rdp_stage1 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=
rdp_blacklist

תוך 4 דקות, הלקוח המרוחק רשאי לבצע רק 12 "בקשות" חדשות לשרת RDP. ניסיון כניסה אחד הוא בין 1 ל-4 "בקשות". ב"בקשה" ה-12 - חסימה למשך 15 דקות. במקרה שלי התוקפים לא הפסיקו לפרוץ לשרת, הם התאימו לטיימרים ועכשיו עושים את זה לאט מאוד, מהירות בחירה כזו מפחיתה את יעילות המתקפה לאפס. עובדי החברה כמעט ולא חווים אי נוחות בעבודה מהאמצעים שננקטו.

עוד טריק קטן
כלל זה נדלק על פי לוח זמנים בשעה 5:XNUMX ונכבה בשעה XNUMX לפנות בוקר, כאשר אנשים אמיתיים בהחלט ישנים, והבוררים האוטומטיים ממשיכים להיות ערים.

/ip firewall filter 
add action=add-src-to-address-list address-list=rdp_blacklist 
    address-list-timeout=1w0d0h0m chain=forward comment=
    "night_rdp_blacklist" connection-state=new disabled=
    yes dst-port=3389 protocol=tcp src-address-list=rdp_stage8

כבר בחיבור ה-8, ה-IP של התוקף נמצא ברשימה השחורה למשך שבוע. יוֹפִי!

ובכן, בנוסף לאמור לעיל, אוסיף קישור למאמר ב-Wiki עם הגדרות עבודה להגנה על Mikrotik מפני סורקי רשת. wiki.mikrotik.com/wiki/Drop_port_scanners

במכשירים שלי, הגדרה זו פועלת יחד עם כללי האניבוק המתוארים לעיל, ומשלימה אותם היטב.

UPD: כפי שהוצע בהערות, כלל הפלת המנות הועבר ל-RAW כדי להפחית את העומס על הנתב.

מקור: www.habr.com