ඔබේ මයික්‍රොටික් ප්‍රහාර වලින් ආරක්ෂා කිරීමට පහසු ක්‍රමයක්

ඔබගේ ජාලය සහ සේවාවන් බාහිර ප්‍රහාරවලින් එය පිටුපසින් "එබීම" ආරක්ෂා කර ගැනීමට Mikrotik භාවිතා කරන ආකාරය පිළිබඳ සරල සහ ක්‍රියාකාරී ක්‍රමයක් ප්‍රජාව සමඟ බෙදා ගැනීමට මට අවශ්‍යය. එනම්, Mikrotik මත Honeypot සංවිධානය කිරීම සඳහා නීති තුනක් පමණි.

එබැවින්, සේවකයින්ට දුරස්ථව වැඩ කිරීමට RDP සේවාදායකයක් ඇති බාහිර IP එකක් සහිත කුඩා කාර්යාලයක් අපට ඇතැයි සිතමු. පළමු රීතිය නම්, ඇත්ත වශයෙන්ම, බාහිර අතුරු මුහුණතේ 3389 වරාය වෙනත් එකකට වෙනස් කිරීමයි. නමුත් මෙය වැඩි කල් පවතින්නේ නැත; දින කිහිපයකට පසු, ටර්මිනල් සේවාදායක විගණන ලොගය නොදන්නා සේවාදායකයින්ගෙන් තත්පරයකට අසාර්ථක අවසරයන් කිහිපයක් පෙන්වීමට පටන් ගනී.

තවත් තත්වයක්, ඔබට Mikrotik පිටුපසින් තරු ලකුණ සැඟවී ඇත, ඇත්ත වශයෙන්ම 5060 udp port මත නොවේ, සහ දින කිහිපයකට පසු මුරපද සෙවීම ද ආරම්භ වේ ... ඔව්, ඔව්, මම දන්නවා, fail2ban අපගේ සියල්ල, නමුත් අපට තවමත් සිදු විය යුතුය එය මත වැඩ කරන්න... උදාහරණයක් ලෙස, මම මෑතකදී එය ubuntu 18.04 මත ස්ථාපනය කර ඇති අතර, එම ubuntu බෙදාහැරීමේ එකම පෙට්ටියෙන් fail2ban පෙට්ටියෙන් පිටත තරු ලකුණ සඳහා වත්මන් සැකසුම් අඩංගු නොවන බව සොයා ගැනීම පුදුමයට පත් විය... සහ Google ඉක්මන් සැකසුම් සූදානම් කළ “වට්ටෝරු” සඳහා තවදුරටත් ක්‍රියා නොකරයි, නිකුතු සඳහා සංඛ්‍යා වසර ගණනාවක් තිස්සේ වර්ධනය වෙමින් පවතී, සහ පැරණි අනුවාද සඳහා “වට්ටෝරු” සහිත ලිපි තවදුරටත් ක්‍රියා නොකරයි, නව ඒවා කිසි විටෙකත් නොපෙන්වයි ... නමුත් මම ඉවත් වෙමි ...

ඉතින්, කෙටියෙන් හනිපොට් යනු කුමක්ද - එය හනිපොට් එකකි, අපගේ නඩුවේදී, බාහිර IP එකක ඇති ඕනෑම ජනප්‍රිය වරායක්, බාහිර සේවාදායකයෙකුගෙන් මෙම වරායට ඕනෑම ඉල්ලීමක් src ලිපිනය අසාදු ලේඛනයට යවයි. සෑම.

/ip firewall filter
add action=add-src-to-address-list address-list="Honeypot Hacker" 
    address-list-timeout=30d0h0m chain=input comment="block honeypot ssh rdp winbox" 
    connection-state=new dst-port=22,3389,8291 in-interface=
    ether4-wan protocol=tcp
add action=add-src-to-address-list address-list="Honeypot Hacker" 
    address-list-timeout=30d0h0m chain=input comment=
    "block honeypot asterisk" connection-state=new dst-port=5060 
    in-interface=ether4-wan protocol=udp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=
    "Honeypot Hacker"

Ether22-wan බාහිර අතුරුමුහුණතේ ජනප්‍රිය TCP ports 3389, 8291, 4 හි පළමු රීතිය "Honeypot Hacker" ලැයිස්තුවට "ආගන්තුක" IP යවයි (ssh, rdp සහ winbox සඳහා වරායන් කල්තියා අබල කර හෝ වෙනත් ඒවාට වෙනස් කර ඇත). දෙවැන්න ජනප්‍රිය UDP 5060 මත එයම කරයි.

පෙර-මාර්ගගත කිරීමේ අදියරේ තුන්වන රීතිය "හනීපොට් හැකර්" හි srs-ලිපිනය ඇතුළත් "අමුත්තන්ගෙන්" පැකට් පහත දමයි.

මගේ නිවසේ මයික්‍රොටික් සමඟ වැඩ කිරීමෙන් සති දෙකකට පසු, “හනීපොට් හැකර්” ලැයිස්තුවට මගේ ජාල සම්පත් “බුරුල්ලෙන් අල්ලා ගැනීමට” කැමති අයගේ IP ලිපින එකහමාරක් පමණ ඇතුළත් විය (නිවසේ මගේම දුරකථන, තැපැල්, Nextcloud, rdp) ම්ලේච්ඡ ප්‍රහාර නතර විය, සතුට පැමිණියේය.

රැකියාවේදී, සෑම දෙයක්ම එතරම් සරල නැත, එහිදී ඔවුන් තිරිසන් මුරපද මගින් rdp සේවාදායකය බිඳ දමයි.

පෙනෙන විදිහට, හනිපොට් සක්‍රිය කිරීමට බොහෝ කලකට පෙර ස්කෑනරය මඟින් වරාය අංකය තීරණය කර ඇති අතර නිරෝධායනය අතරතුර පරිශීලකයින් 100 කට වඩා නැවත සකස් කිරීම එතරම් පහසු නැත, එයින් 20% ක් වයස අවුරුදු 65 ට වැඩි ය. වරාය වෙනස් කළ නොහැකි අවස්ථාවක, කුඩා වැඩ කරන වට්ටෝරුවක් තිබේ. මම අන්තර්ජාලයේ සමාන දෙයක් දැක ඇත, නමුත් අමතර එකතු කිරීම් සහ සියුම් සුසර කිරීම් ඇතුළත් වේ:

Port Knocking වින්යාස කිරීම සඳහා නීති

 /ip firewall filter
add action=add-src-to-address-list address-list=rdp_blacklist 
    address-list-timeout=15m chain=forward comment=rdp_to_blacklist 
    connection-state=new dst-port=3389 protocol=tcp src-address-list=
    rdp_stage12
add action=add-src-to-address-list address-list=rdp_stage12 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage11
add action=add-src-to-address-list address-list=rdp_stage11 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage10
add action=add-src-to-address-list address-list=rdp_stage10 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage9
add action=add-src-to-address-list address-list=rdp_stage9 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage8
add action=add-src-to-address-list address-list=rdp_stage8 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage7 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage6
add action=add-src-to-address-list address-list=rdp_stage6 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage5
add action=add-src-to-address-list address-list=rdp_stage5 
    address-list-timeout=4m chain=forward connection-state=new dst-port=
    3389 protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage4 
    address-list-timeout=4m chain=forward connection-state=new dst-port=
    3389 protocol=tcp src-address-list=rdp_stage3
add action=add-src-to-address-list address-list=rdp_stage3 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage2
add action=add-src-to-address-list address-list=rdp_stage2 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage1
add action=add-src-to-address-list address-list=rdp_stage1 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=
rdp_blacklist

මිනිත්තු 4 කින්, දුරස්ථ සේවාදායකයාට RDP සේවාදායකයට නව "ඉල්ලීම්" 12 ක් පමණක් කිරීමට අවසර ඇත. එක් පිවිසුම් උත්සාහයක් "ඉල්ලීම්" 1 සිට 4 දක්වා වේ. 12 වන “ඉල්ලීමේදී” - විනාඩි 15 ක් අවහිර කිරීම. මගේ නඩුවේදී, ප්‍රහාරකයින් සේවාදායකය හැක් කිරීම නැවැත්වූයේ නැත, ඔවුන් ටයිමර් වලට ගැලපීමට සහ දැන් එය ඉතා සෙමින් සිදු කරයි, එවැනි තේරීමේ වේගය ප්‍රහාරයේ කාර්යක්ෂමතාව ශුන්‍යයට අඩු කරයි. ගෙන ඇති ක්‍රියාමාර්ග වලින් සමාගමේ සේවකයින්ට රැකියාවේදී කිසිදු අපහසුතාවයක් අත්විඳිය නොහැක.

තවත් පොඩි උපක්‍රමයක්
මෙම රීතිය අලුයම 5 ට කාලසටහනකට අනුව ක්‍රියාත්මක වන අතර සැබෑ මිනිසුන් නියත වශයෙන්ම නිදා සිටින විට සහ ස්වයංක්‍රීය පිකර් දිගටම අවදියෙන් සිටින විට උදේ XNUMX ට ක්‍රියා විරහිත වේ.

/ip firewall filter 
add action=add-src-to-address-list address-list=rdp_blacklist 
    address-list-timeout=1w0d0h0m chain=forward comment=
    "night_rdp_blacklist" connection-state=new disabled=
    yes dst-port=3389 protocol=tcp src-address-list=rdp_stage8

දැනටමත් 8 වන සම්බන්ධතාවයේ, ප්‍රහාරකයාගේ IP සතියක් සඳහා අසාදු ලේඛනගත කර ඇත. අලංකාරය!

හොඳයි, ඉහත ඒවාට අමතරව, මම ජාල ස්කෑනර් වලින් Mikrotik ආරක්ෂා කිරීම සඳහා වැඩ කරන සැකසුම සහිත Wiki ලිපියකට සබැඳියක් එක් කරමි. wiki.mikrotik.com/wiki/Drop_port_scanners

මගේ උපාංගවල, මෙම සැකසුම ඉහත විස්තර කර ඇති හනිපොට් රීති සමඟ එකට ක්‍රියා කරයි, ඒවා හොඳින් සම්පූර්ණ කරයි.

UPD: අදහස් දැක්වීමේදී යෝජනා කර ඇති පරිදි, රවුටරයේ බර අඩු කිරීම සඳහා පැකට් පතන රීතිය RAW වෙත ගෙන ගොස් ඇත.

මූලාශ්රය: www.habr.com