Ett enkelt sätt att skydda din Mikrotik från attacker.

Jag vill dela med mig till gemenskapen av ett enkelt och fungerande sätt att skydda mitt nätverk och de tjänster som "tittar" bakom det med hjälp av Mikrotik från externa attacker. Genom att organisera ett honeypot på Mikrotik med endast tre regler.

Låt oss säga att vi har ett litet kontor, med en extern IP-adress bakom vilken en RDP-server finns för medarbetarnas distansarbete. Den första regeln är naturligtvis att byta port 3389 på det externa gränssnittet till en annan. Men detta räcker bara en kort tid, efter ett par dagar börjar loggen för terminalservern att visa flera misslyckade inloggningsförsök per sekund från okända klienter.

En annan situation är om du har en asterisk gömd bakom Mikrotik, givetvis inte på udp-port 5060, och efter några dagar börjar även här lösenordsåterställningar... ja, jag vet, fail2ban är vår allt, men det kommer att krävas lite mer arbete... nyligen installerade jag det på ubuntu 18.04 och upptäckte med förvåning att fail2ban ur lådan inte innehåller aktuella inställningar för asterisk från samma låda med samma ubuntu-distribution... och att googla fram snabba inställningar för färdiga "recept" är inte längre möjligt, siffrorna för versionerna har ökat med åren, och artiklar med "recept" för gamla versioner fungerar inte längre, och nya dyker nästan aldrig upp... Men nog om det...

Så, vad är ett honeypot i korthet — det är en fälla, i vårt fall en populär port på den externa IP-adressen, varje förfrågan till denna port från en extern klient skickar src-adressen till svartlistan. Det är allt.

/ip firewall filter
add action=add-src-to-address-list address-list="Honeypot Hacker" 
    address-list-timeout=30d0h0m chain=input comment="block honeypot ssh rdp winbox" 
    connection-state=new dst-port=22,3389,8291 in-interface=
    ether4-wan protocol=tcp
add action=add-src-to-address-list address-list="Honeypot Hacker" 
    address-list-timeout=30d0h0m chain=input comment=
    "block honeypot asterisk" connection-state=new dst-port=5060 
    in-interface=ether4-wan protocol=udp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=
    "Honeypot Hacker"

Den första regeln för populära TCP-portar 22, 3389, 8291 på det externa gränssnittet ether4-wan skickar IP-adressen för "gästen" till listan "Honeypot Hacker" (portarna för ssh, rdp och winbox har i förväg stängts av eller ändrats). Den andra gör detsamma på populära UDP 5060.

Den tredje regeln i rutingen dropper paket från "gäster" vars srs-adress finns i "Honeypot Hacker".

Efter två veckors drift av min hemmamikrotik hade listan "Honeypot Hacker" samlat in cirka 1500 IP-adresser av dem som ville "hållas vid liv" mina nätverksresurser (hemma har vi vår egen telefoni, e-post, nextcloud, rdp). Brute-force-attackerna upphörde, och saligheten infann sig.

På jobbet visade sig inte allt vara så enkelt, där fortsätter rdp-servern att hackas genom lösenordsåterställningar.

Det verkar som att portnumret identifierades av skannern långt innan honeypot aktiverades, och under karantänen är det inte så enkelt att omkonfigurera över 100 användare, varav 20 % är över 65 år. I fall där porten inte kan ändras finns det ett litet arbetsrecept. Jag har sett liknande på nätet, men här finns en finjustering:

Regler för att konfigurera Port Knocking

 /ip firewall filter
add action=add-src-to-address-list address-list=rdp_blacklist 
    address-list-timeout=15m chain=forward comment=rdp_to_blacklist 
    connection-state=new dst-port=3389 protocol=tcp src-address-list=
    rdp_stage12
add action=add-src-to-address-list address-list=rdp_stage12 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage11
add action=add-src-to-address-list address-list=rdp_stage11 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage10
add action=add-src-to-address-list address-list=rdp_stage10 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage9
add action=add-src-to-address-list address-list=rdp_stage9 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage8
add action=add-src-to-address-list address-list=rdp_stage8 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage7 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage6
add action=add-src-to-address-list address-list=rdp_stage6 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage5
add action=add-src-to-address-list address-list=rdp_stage5 
    address-list-timeout=4m chain=forward connection-state=new dst-port=
    3389 protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage4 
    address-list-timeout=4m chain=forward connection-state=new dst-port=
    3389 protocol=tcp src-address-list=rdp_stage3
add action=add-src-to-address-list address-list=rdp_stage3 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage2
add action=add-src-to-address-list address-list=rdp_stage2 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp src-address-list=rdp_stage1
add action=add-src-to-address-list address-list=rdp_stage1 
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 
    protocol=tcp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=
rdp_blacklist

På 4 minuter får den externa kunden endast göra 12 nya "förfrågningar" till RDP servern. Ett inloggningsförsök består av 1 till 4 "förfrågningar". Vid den 12:e "förfrågningen" blockeras åtkomsten i 15 minuter. I mitt fall har inte angriparna slutat försöka hacka servern, de har anpassat sig till tidtagarna och nu gör de det mycket långsamt, en sådan hastighet minskar effektiviteten av attacken till noll. Företagets anställda upplever praktiskt taget inga besvär av de vidtagna åtgärderna.

Ännu ett litet trick
Den här regeln aktiveras enligt schema klockan ett på natten och stängs av klockan fem, när riktiga människor definitivt sover, medan automatiserade verktyg fortsätter att vara vakna.

/ip firewall filter 
add action=add-src-to-address-list address-list=rdp_blacklist 
    address-list-timeout=1w0d0h0m chain=forward comment=
    "night_rdp_blacklist" connection-state=new disabled=
    yes dst-port=3389 protocol=tcp src-address-list=rdp_stage8

Vid det åttonde anslutningen hamnar angriparens IP-adress på svartlista i en vecka. Vackert!

Och till det ovanstående lägger jag en länk till en Wiki-artikel med en fungerande konfiguration för att skydda Mikrotik från nätverksskannrar. wiki.mikrotik.com/wiki/Drop_port_scanners

På mina enheter fungerar den här inställningen tillsammans med de ovan beskrivna honeypot-reglerna och kompletterar dem väl.

UPD: Som nämnts i kommentarerna har regeln för paketdropp flyttats till RAW för att minska belastningen på routern.

Källa: habr.com