ਤੁਹਾਡੇ ਮਾਈਕਰੋਟਿਕ ਨੂੰ ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਉਣ ਦਾ ਇੱਕ ਆਸਾਨ ਤਰੀਕਾ

ਮੈਂ ਭਾਈਚਾਰੇ ਨਾਲ ਤੁਹਾਡੇ ਨੈੱਟਵਰਕ ਅਤੇ ਇਸ ਦੁਆਰਾ ਪ੍ਰਗਟ ਹੋਣ ਵਾਲੀਆਂ ਸੇਵਾਵਾਂ ਨੂੰ ਬਾਹਰੀ ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਉਣ ਲਈ Mikrotik ਦੀ ਵਰਤੋਂ ਕਰਨ ਦਾ ਇੱਕ ਸਰਲ ਅਤੇ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਤਰੀਕਾ ਸਾਂਝਾ ਕਰਨਾ ਚਾਹੁੰਦਾ ਹਾਂ। ਖਾਸ ਤੌਰ 'ਤੇ, ਸਿਰਫ਼ ਤਿੰਨ ਨਿਯਮਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ, ਤੁਸੀਂ Mikrotik 'ਤੇ ਇੱਕ ਹਨੀਪਾਟ ਸਥਾਪਤ ਕਰ ਸਕਦੇ ਹੋ।

ਤਾਂ, ਮੰਨ ਲਓ ਕਿ ਸਾਡੇ ਕੋਲ ਇੱਕ ਛੋਟਾ ਜਿਹਾ ਦਫ਼ਤਰ ਹੈ ਜਿਸਦੇ ਪਿੱਛੇ ਇੱਕ ਬਾਹਰੀ IP ਹੈ ਜਿਸਦੇ ਪਿੱਛੇ ਰਿਮੋਟ ਕੰਮ ਲਈ ਇੱਕ RDP ਸਰਵਰ ਸਥਾਪਤ ਹੈ। ਪਹਿਲਾ ਨਿਯਮ, ਬੇਸ਼ੱਕ, ਬਾਹਰੀ ਇੰਟਰਫੇਸ 'ਤੇ ਪੋਰਟ 3389 ਨੂੰ ਦੂਜੇ ਵਿੱਚ ਬਦਲਣਾ ਹੈ। ਪਰ ਇਹ ਜ਼ਿਆਦਾ ਦੇਰ ਨਹੀਂ ਚੱਲੇਗਾ; ਕੁਝ ਦਿਨਾਂ ਬਾਅਦ, ਟਰਮੀਨਲ ਸਰਵਰ ਆਡਿਟ ਲੌਗ ਅਣਜਾਣ ਕਲਾਇੰਟਾਂ ਤੋਂ ਪ੍ਰਤੀ ਸਕਿੰਟ ਕਈ ਅਸਫਲ ਅਧਿਕਾਰ ਦਿਖਾਉਣਾ ਸ਼ੁਰੂ ਕਰ ਦੇਵੇਗਾ।

Другая ситуация, у Вас за Mikrotik спрятан asterisk, естественно не на 5060 udp порту, и через пару дней также начинается перебор паролей… да да, знаю, fail2ban наше вcё, но над ним еще попыхтеть придется… вот я например недавно поднял его на ubuntu 18.04 и с удивлением обнаружил, что из коробки fail2ban не содержит актуальных настроек для asterisk из той-же коробки того-же ubuntu дистрибутива… а гуглить быстрые настройки готовых «рецептов» уже не получается, цифры у релизов с годами растут, а статьи с «рецептами» для старых версий уже не работают, а новых почти не появляется… Но что-то я отвлекся…

ਤਾਂ, ਸੰਖੇਪ ਵਿੱਚ ਹਨੀਪੌਟ ਕੀ ਹੈ? ਇਹ ਇੱਕ ਧੋਖਾ ਹੈ, ਸਾਡੇ ਮਾਮਲੇ ਵਿੱਚ ਇੱਕ ਬਾਹਰੀ IP 'ਤੇ ਇੱਕ ਪ੍ਰਸਿੱਧ ਪੋਰਟ। ਕਿਸੇ ਬਾਹਰੀ ਕਲਾਇੰਟ ਤੋਂ ਇਸ ਪੋਰਟ ਲਈ ਕੋਈ ਵੀ ਬੇਨਤੀ src ਐਡਰੈੱਸ ਨੂੰ ਬਲੈਕਲਿਸਟ ਵਿੱਚ ਭੇਜਦੀ ਹੈ। ਬੱਸ ਇੰਨਾ ਹੀ।

/ip firewall filter
add action=add-src-to-address-list address-list="Honeypot Hacker" 
    address-list-timeout=30d0h0m chain=input comment="block honeypot ssh rdp winbox" 
    connection-state=new dst-port=22,3389,8291 in-interface=
    ether4-wan protocol=tcp
add action=add-src-to-address-list address-list="Honeypot Hacker" 
    address-list-timeout=30d0h0m chain=input comment=
    "block honeypot asterisk" connection-state=new dst-port=5060 
    in-interface=ether4-wan protocol=udp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=
    "Honeypot Hacker"

ਈਥਰ4-ਵਾਨ ਬਾਹਰੀ ਇੰਟਰਫੇਸ 'ਤੇ ਪ੍ਰਸਿੱਧ TCP ਪੋਰਟ 22, 3389, ਅਤੇ 8291 'ਤੇ ਪਹਿਲਾ ਨਿਯਮ "ਮਹਿਮਾਨ" IP ਨੂੰ "ਹਨੀਪੌਟ ਹੈਕਰ" ਸੂਚੀ ਵਿੱਚ ਭੇਜਦਾ ਹੈ (ssh, rdp, ਅਤੇ winbox ਲਈ ਪੋਰਟ ਪਹਿਲਾਂ ਅਯੋਗ ਹਨ ਜਾਂ ਹੋਰ ਪੋਰਟਾਂ ਵਿੱਚ ਬਦਲੇ ਗਏ ਹਨ)। ਦੂਜਾ ਪ੍ਰਸਿੱਧ UDP ਪੋਰਟ 5060 'ਤੇ ਵੀ ਇਹੀ ਕਰਦਾ ਹੈ।

ਪ੍ਰੀ-ਰੂਟਿੰਗ ਪੜਾਅ 'ਤੇ ਤੀਜਾ ਨਿਯਮ "ਮਹਿਮਾਨਾਂ" ਦੇ ਪੈਕੇਟ ਸੁੱਟਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਦਾ srs-ਪਤਾ "ਹਨੀਪੌਟ ਹੈਕਰ" ਵਿੱਚ ਮਿਲਿਆ ਸੀ।

ਮੇਰੇ ਘਰ ਦੇ ਮਾਈਕ੍ਰੋਟਿਕ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੇ ਦੋ ਹਫ਼ਤਿਆਂ ਬਾਅਦ, "ਹਨੀਪੌਟ ਹੈਕਰ" ਸੂਚੀ ਵਿੱਚ ਉਨ੍ਹਾਂ ਲੋਕਾਂ ਦੇ ਲਗਭਗ ਡੇਢ ਹਜ਼ਾਰ IP ਪਤੇ ਸ਼ਾਮਲ ਸਨ ਜੋ ਮੇਰੇ ਨੈੱਟਵਰਕ ਸਰੋਤਾਂ ਨੂੰ "ਲੇਵੇ ਦੁਆਰਾ ਫੜਨਾ" ਪਸੰਦ ਕਰਦੇ ਹਨ (ਮੇਰੇ ਕੋਲ ਘਰ ਵਿੱਚ ਆਪਣਾ ਟੈਲੀਫੋਨ ਸਿਸਟਮ, ਮੇਲ, ਨੈਕਸਟ ਕਲਾਉਡ ਅਤੇ ਆਰਡੀਪੀ ਹੈ)। ਬਰੂਟ-ਫੋਰਸ ਹਮਲੇ ਬੰਦ ਹੋ ਗਏ, ਅਤੇ ਖੁਸ਼ੀ ਸ਼ੁਰੂ ਹੋ ਗਈ।

ਕੰਮ 'ਤੇ ਚੀਜ਼ਾਂ ਇੰਨੀਆਂ ਸਰਲ ਨਹੀਂ ਸਨ; ਉਹ ਪਾਸਵਰਡ ਅਨੁਮਾਨ ਲਗਾ ਕੇ RDP ਸਰਵਰ ਨੂੰ ਹੈਕ ਕਰਦੇ ਰਹੇ।

ਜ਼ਾਹਰ ਹੈ ਕਿ ਹਨੀਪੌਟ ਦੇ ਕਿਰਿਆਸ਼ੀਲ ਹੋਣ ਤੋਂ ਬਹੁਤ ਪਹਿਲਾਂ ਇੱਕ ਸਕੈਨਰ ਦੁਆਰਾ ਪੋਰਟ ਨੰਬਰ ਦਾ ਪਤਾ ਲਗਾਇਆ ਗਿਆ ਸੀ, ਅਤੇ ਕੁਆਰੰਟੀਨ ਦੌਰਾਨ, 100 ਤੋਂ ਵੱਧ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਦੁਬਾਰਾ ਸੰਰਚਿਤ ਕਰਨਾ ਆਸਾਨ ਨਹੀਂ ਹੈ, ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ 20% 65 ਸਾਲ ਤੋਂ ਵੱਧ ਹਨ। ਜੇਕਰ ਪੋਰਟ ਨੂੰ ਬਦਲਿਆ ਨਹੀਂ ਜਾ ਸਕਦਾ, ਤਾਂ ਇੱਕ ਸਧਾਰਨ ਹੱਲ ਹੈ। ਮੈਂ ਔਨਲਾਈਨ ਕੁਝ ਅਜਿਹਾ ਹੀ ਦੇਖਿਆ ਹੈ, ਪਰ ਇਸ ਵਿੱਚ ਕੁਝ ਵਾਧੂ ਹੱਲ ਅਤੇ ਫਾਈਨ-ਟਿਊਨਿੰਗ ਸ਼ਾਮਲ ਹੈ:

ਪੋਰਟ ਨੌਕਿੰਗ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨ ਲਈ ਨਿਯਮ

 /ip firewall filter
add action=add-src-to-address-list address-list=rdp_blacklist 
    address-list-timeout=15m chain=forward comment=rdp_to_blacklist 
    connection-state=new dst-port=3389 protocol=tcp src-address-list=
    rdp_stage12
add action=add-src-to-address-list address-list=rdp_stage12 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage11
add action=add-src-to-address-list address-list=rdp_stage11 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage10
add action=add-src-to-address-list address-list=rdp_stage10 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage9
add action=add-src-to-address-list address-list=rdp_stage9 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage8
add action=add-src-to-address-list address-list=rdp_stage8 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage7 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage6
add action=add-src-to-address-list address-list=rdp_stage6 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage5
add action=add-src-to-address-list address-list=rdp_stage5 
    address-list-timeout=4m chain=forward connection-state=new dst-port=
    3389 protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage4 
    address-list-timeout=4m chain=forward connection-state=new dst-port=
    3389 protocol=tcp src-address-list=rdp_stage3
add action=add-src-to-address-list address-list=rdp_stage3 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage2
add action=add-src-to-address-list address-list=rdp_stage2 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage1
add action=add-src-to-address-list address-list=rdp_stage1 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=
rdp_blacklist

4 ਮਿੰਟਾਂ ਵਿੱਚ, ਇੱਕ ਰਿਮੋਟ ਕਲਾਇੰਟ ਨੂੰ RDP ਨੂੰ ਸਿਰਫ਼ 12 ਨਵੀਆਂ "ਬੇਨਤੀਆਂ" ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਹੈ। ਸਰਵਰਇੱਕ ਲੌਗਇਨ ਕੋਸ਼ਿਸ਼ ਵਿੱਚ 1 ਤੋਂ 4 "ਬੇਨਤੀਆਂ" ਸ਼ਾਮਲ ਹੁੰਦੀਆਂ ਹਨ। 12ਵੀਂ "ਬੇਨਤੀ" 'ਤੇ, 15-ਮਿੰਟ ਦਾ ਲਾਕਆਉਟ ਹੁੰਦਾ ਹੈ। ਮੇਰੇ ਮਾਮਲੇ ਵਿੱਚ, ਹਮਲਾਵਰਾਂ ਨੇ ਸਰਵਰ ਨੂੰ ਹੈਕ ਕਰਨਾ ਜਾਰੀ ਰੱਖਿਆ; ਉਹ ਟਾਈਮਰਾਂ ਨਾਲ ਐਡਜਸਟ ਹੋ ਗਏ ਅਤੇ ਹੁਣ ਬਹੁਤ ਹੌਲੀ ਹੌਲੀ ਅਜਿਹਾ ਕਰਦੇ ਹਨ। ਇਹ ਜ਼ਬਰਦਸਤੀ ਦੀ ਗਤੀ ਹਮਲੇ ਦੀ ਪ੍ਰਭਾਵਸ਼ੀਲਤਾ ਨੂੰ ਜ਼ੀਰੋ ਤੱਕ ਘਟਾ ਦਿੰਦੀ ਹੈ। ਇਹਨਾਂ ਉਪਾਵਾਂ ਦੇ ਕਾਰਨ ਕੰਪਨੀ ਦੇ ਕਰਮਚਾਰੀਆਂ ਨੂੰ ਆਪਣੇ ਕੰਮ ਵਿੱਚ ਲਗਭਗ ਕੋਈ ਵਿਘਨ ਨਹੀਂ ਪਿਆ ਹੈ।

ਇੱਕ ਹੋਰ ਛੋਟੀ ਜਿਹੀ ਚਾਲ
ਇਹ ਨਿਯਮ ਸਵੇਰੇ 1 ਵਜੇ ਚਾਲੂ ਅਤੇ ਸਵੇਰੇ 5 ਵਜੇ ਬੰਦ ਕਰਨ ਲਈ ਤਹਿ ਕੀਤਾ ਗਿਆ ਹੈ, ਜਦੋਂ ਅਸਲ ਲੋਕ ਯਕੀਨੀ ਤੌਰ 'ਤੇ ਸੁੱਤੇ ਹੁੰਦੇ ਹਨ, ਪਰ ਆਟੋਮੇਟਿਡ ਪਿਕਚਰ ਜਾਗਦੇ ਰਹਿੰਦੇ ਹਨ।

/ip firewall filter 
add action=add-src-to-address-list address-list=rdp_blacklist 
    address-list-timeout=1w0d0h0m chain=forward comment=
    "night_rdp_blacklist" connection-state=new disabled=
    yes dst-port=3389 protocol=tcp src-address-list=rdp_stage8

ਅੱਠਵੇਂ ਕਨੈਕਸ਼ਨ ਤੋਂ ਬਾਅਦ, ਹਮਲਾਵਰ ਦਾ IP ਇੱਕ ਹਫ਼ਤੇ ਲਈ ਬਲੈਕਲਿਸਟ ਕਰ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਬਹੁਤ ਵਧੀਆ!

ਅਤੇ ਉਪਰੋਕਤ ਤੋਂ ਇਲਾਵਾ, ਮੈਂ ਨੈੱਟਵਰਕ ਸਕੈਨਰਾਂ ਤੋਂ ਮਾਈਕ੍ਰੋਟਿਕ ਦੀ ਸੁਰੱਖਿਆ ਲਈ ਇੱਕ ਕਾਰਜਸ਼ੀਲ ਸੈੱਟਅੱਪ ਦੇ ਨਾਲ ਇੱਕ ਵਿਕੀ ਲੇਖ ਦਾ ਲਿੰਕ ਜੋੜਾਂਗਾ। wiki.mikrotik.com/wiki/Drop_port_scanners

ਮੇਰੇ ਡਿਵਾਈਸਾਂ 'ਤੇ, ਇਹ ਸੈਟਿੰਗ ਉੱਪਰ ਦੱਸੇ ਗਏ ਹਨੀਪੋਟ ਨਿਯਮਾਂ ਦੇ ਨਾਲ ਮਿਲ ਕੇ ਕੰਮ ਕਰਦੀ ਹੈ, ਜੋ ਉਹਨਾਂ ਨੂੰ ਕਾਫ਼ੀ ਵਧੀਆ ਢੰਗ ਨਾਲ ਪੂਰਕ ਕਰਦੀ ਹੈ।

UPD: ਜਿਵੇਂ ਕਿ ਟਿੱਪਣੀਆਂ ਵਿੱਚ ਸੁਝਾਅ ਦਿੱਤਾ ਗਿਆ ਹੈ, ਰਾਊਟਰ 'ਤੇ ਲੋਡ ਘਟਾਉਣ ਲਈ ਪੈਕੇਟ ਡ੍ਰੌਪ ਨਿਯਮ ਨੂੰ RAW ਵਿੱਚ ਤਬਦੀਲ ਕਰ ਦਿੱਤਾ ਗਿਆ ਹੈ।

ਸਰੋਤ: www.habr.com