მარტივი გზა თქვენი Mikrotik-ის თავდასხმებისგან დასაცავად

მსურს საზოგადოებას გავუზიარო მარტივი და მოქმედი გზა, თუ როგორ გამოიყენოთ Mikrotik თქვენი ქსელის და მისი უკნიდან „მოხილული“ სერვისების დასაცავად გარე შეტევებისგან. კერძოდ, მხოლოდ სამი წესი Mikrotik-ზე თაფლის მოწყობისთვის.

ასე რომ, წარმოვიდგინოთ, რომ გვაქვს პატარა ოფისი, გარე IP-ით, რომლის უკან არის RDP სერვერი თანამშრომლებისთვის დისტანციურად მუშაობისთვის. პირველი წესი, რა თქმა უნდა, არის 3389 პორტის შეცვლა გარე ინტერფეისზე სხვაზე. მაგრამ ეს დიდხანს არ გაგრძელდება; რამდენიმე დღის შემდეგ, ტერმინალის სერვერის აუდიტის ჟურნალი დაიწყებს უცნობი კლიენტებისგან წამში რამდენიმე წარუმატებელი ავტორიზაციის ჩვენებას.

სხვა სიტუაციაა, Mikrotik-ის უკან ვარსკვლავი გაქვს დამალული, რა თქმა უნდა არა 5060 udp პორტზე და ორიოდე დღის შემდეგ პაროლის ძებნაც იწყება... დიახ, დიახ, ვიცი, fail2ban ჩვენი ყველაფერია, მაგრამ მაინც უნდა იმუშავე მასზე... მაგალითად, მე ახლახან დავაინსტალირე ის ubuntu 18.04-ზე და გაკვირვებული აღმოვაჩინე, რომ out of box fail2ban არ შეიცავს ამჟამინდელ პარამეტრებს ვარსკვლავისთვის იმავე უბუნტუს განაწილების იმავე უჯრიდან... და გუგლის სწრაფი პარამეტრები მზა "რეცეპტებისთვის" აღარ მუშაობს, გამოშვებების რიცხვი წლების განმავლობაში იზრდება და ძველი ვერსიების "რეცეპტებით" სტატიები აღარ მუშაობს და ახლები თითქმის არასდროს ჩნდება... მაგრამ მე ვეუბნები...

მოკლედ რა არის honeypot - ეს არის honeypot, ჩვენს შემთხვევაში ნებისმიერი პოპულარული პორტი გარე IP-ზე, ნებისმიერი მოთხოვნა ამ პორტზე გარე კლიენტისგან აგზავნის src მისამართს შავ სიაში. ყველა.

/ip firewall filter
add action=add-src-to-address-list address-list="Honeypot Hacker" 
    address-list-timeout=30d0h0m chain=input comment="block honeypot ssh rdp winbox" 
    connection-state=new dst-port=22,3389,8291 in-interface=
    ether4-wan protocol=tcp
add action=add-src-to-address-list address-list="Honeypot Hacker" 
    address-list-timeout=30d0h0m chain=input comment=
    "block honeypot asterisk" connection-state=new dst-port=5060 
    in-interface=ether4-wan protocol=udp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=
    "Honeypot Hacker"

პირველი წესი პოპულარული TCP პორტების 22, 3389, 8291 ether4-wan გარე ინტერფეისის შესახებ აგზავნის "სტუმრის" IP-ს "Honeypot Hacker" სიაში (პორტები ssh, rdp და winbox წინასწარ გამორთულია ან შეიცვალა სხვებისთვის). მეორეც იგივეს აკეთებს პოპულარულ UDP 5060-ზე.

მესამე წესი წინასწარ მარშრუტიზაციის ეტაპზე ტოვებს პაკეტებს „სტუმრებისგან“, რომელთა srs-მისამართი შედის „Honeypot Hacker“-ში.

ჩემს სახლში Mikrotik-თან მუშაობის ორკვირიანი მუშაობის შემდეგ, „Honeypot Hacker“-ის სიაში შედიოდა დაახლოებით ათასნახევარი IP მისამართი, ვისაც სურს ჩემი ქსელის რესურსების „ყიფზე დაჭერა“ (სახლში არის ჩემი საკუთარი ტელეფონი, ფოსტა, nextcloud, rdp). უხეში ძალის შეტევები შეწყდა, ნეტარება მოვიდა.

სამსახურში ყველაფერი ასე მარტივი არ აღმოჩნდა, იქ ისინი აგრძელებენ rdp სერვერის გატეხვას უხეში პაროლების საშუალებით.

როგორც ჩანს, პორტის ნომერი სკანერმა განსაზღვრა ჰონიპოტის ჩართვამდე დიდი ხნით ადრე და კარანტინის დროს არც ისე ადვილია 100-ზე მეტი მომხმარებლის ხელახალი კონფიგურაცია, რომელთაგან 20% 65 წელზე უფროსია. იმ შემთხვევაში, როდესაც პორტის შეცვლა შეუძლებელია, არსებობს მცირე სამუშაო რეცეპტი. მე ვნახე მსგავსი რამ ინტერნეტში, მაგრამ არის დამატებითი დამატება და დახვეწილი რეგულირება:

Port Knocking-ის კონფიგურაციის წესები

 /ip firewall filter
add action=add-src-to-address-list address-list=rdp_blacklist 
    address-list-timeout=15m chain=forward comment=rdp_to_blacklist 
    connection-state=new dst-port=3389 protocol=tcp src-address-list=
    rdp_stage12
add action=add-src-to-address-list address-list=rdp_stage12 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage11
add action=add-src-to-address-list address-list=rdp_stage11 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage10
add action=add-src-to-address-list address-list=rdp_stage10 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage9
add action=add-src-to-address-list address-list=rdp_stage9 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage8
add action=add-src-to-address-list address-list=rdp_stage8 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage7 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage6
add action=add-src-to-address-list address-list=rdp_stage6 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage5
add action=add-src-to-address-list address-list=rdp_stage5 
    address-list-timeout=4m chain=forward connection-state=new dst-port=
    3389 protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage4 
    address-list-timeout=4m chain=forward connection-state=new dst-port=
    3389 protocol=tcp src-address-list=rdp_stage3
add action=add-src-to-address-list address-list=rdp_stage3 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage2
add action=add-src-to-address-list address-list=rdp_stage2 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage1
add action=add-src-to-address-list address-list=rdp_stage1 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=
rdp_blacklist

4 წუთში დისტანციურ კლიენტს უფლება აქვს მხოლოდ 12 ახალი „მოთხოვნა“ გააკეთოს RDP სერვერზე. ერთი შესვლის მცდელობა არის 1-დან 4 „მოთხოვნამდე“. მე-12 "მოთხოვნით" - ბლოკირება 15 წუთის განმავლობაში. ჩემს შემთხვევაში თავდამსხმელებმა არ შეწყვიტეს სერვერის გატეხვა, მორგდნენ ტაიმერებს და ახლა ამას აკეთებენ ძალიან ნელა, შერჩევის ასეთი სიჩქარე ნულამდე ამცირებს შეტევის ეფექტურობას. კომპანიის თანამშრომლები მიღებული ზომებისგან პრაქტიკულად არ განიცდიან დისკომფორტს სამუშაოზე.

კიდევ ერთი პატარა ხრიკი
ეს წესი ჩართულია გრაფიკის მიხედვით დილის 5 საათზე და გამორთულია დილის XNUMX საათზე, როდესაც რეალურ ადამიანებს ნამდვილად სძინავთ, ხოლო ავტომატური ამომრჩევები აგრძელებენ ფხიზლებას.

/ip firewall filter 
add action=add-src-to-address-list address-list=rdp_blacklist 
    address-list-timeout=1w0d0h0m chain=forward comment=
    "night_rdp_blacklist" connection-state=new disabled=
    yes dst-port=3389 protocol=tcp src-address-list=rdp_stage8

უკვე მე-8 კავშირზე, თავდამსხმელის IP არის შავ სიაში ერთი კვირის განმავლობაში. სილამაზე!

გარდა ამისა, ზემოაღნიშნულის გარდა, მე დავამატებ ბმულს Wiki-ის სტატიაზე, რომელიც მუშაობს Mikrotik-ის ქსელის სკანერებისგან დაცვის მიზნით. wiki.mikrotik.com/wiki/Drop_port_scanners

ჩემს მოწყობილობებზე ეს პარამეტრი მუშაობს ზემოთ აღწერილ honeypot წესებთან ერთად და კარგად ავსებს მათ.

UPD: როგორც კომენტარებშია შემოთავაზებული, პაკეტის დაცემის წესი გადატანილია RAW-ზე, რათა შემცირდეს დატვირთვა როუტერზე.

წყარო: www.habr.com