👩🏻‍🤝‍👨🏾 🐧 👨🏿‍🏭 अपने मिकरोटिक को हमलों से बचाने का एक आसान तरीका 🎅🏽 🦀 👩🏽‍🤝‍👨🏿

मैं समुदाय के साथ साझा करना चाहता हूं कि अपने नेटवर्क और सेवाओं की रक्षा के लिए मिकरोटिक का उपयोग कैसे करें, क्योंकि बाहरी हमलों से "बाहर देखो"। अर्थात्, केवल तीन नियमों के साथ, मिकरोटिक पर एक हनीपोट का आयोजन करें।

तो, आइए कल्पना करें कि हमारे पास एक छोटा कार्यालय है, एक बाहरी आईपी जिसके पीछे एक आरडीपी सर्वर है, कर्मचारियों को दूरस्थ रूप से काम करने के लिए। पहला नियम निश्चित रूप से बाहरी इंटरफ़ेस पर पोर्ट 3389 को दूसरे में बदलने का है। लेकिन यह लंबे समय के लिए नहीं है, कुछ दिनों के बाद, टर्मिनल सर्वर ऑडिट लॉग अज्ञात ग्राहकों से प्रति सेकंड कई असफल प्राधिकरणों को दिखाना शुरू कर देगा।

एक और स्थिति, आपके पास मिक्रोटिक के पीछे छिपा हुआ तार है, निश्चित रूप से, 5060 udp पोर्ट पर नहीं, और कुछ दिनों के बाद पासवर्ड का अनुमान लगाना भी शुरू हो जाता है ... हाँ हाँ, मुझे पता है, विफलता 2ban हमारी पूरी बात है, लेकिन मुझे अभी भी इस पर कश लगाना है ... उदाहरण के लिए, मैंने हाल ही में इसे ubuntu को उठा लिया था। 18 अप्रैल को, मुझे यह जानकर आश्चर्य हुआ कि आउटबैंक की विफलता के कारण ओब्नबर्न में समान बॉक्स के एक ही बॉक्स से तारांकन के लिए वास्तविक सेटिंग्स नहीं हैं ... लेकिन Google तैयार "व्यंजनों" की त्वरित त्वरित सेटिंग्स को गूगल नहीं कर सकता है, रिलीज की संख्या वर्षों में बढ़ती है, और लेख " व्यंजनों "पुराने संस्करणों के लिए अब काम नहीं करते हैं, लेकिन लगभग कोई नया नहीं है ... लेकिन मैं कुछ खोदता हूं ...

तो, संक्षेप में हनीपोट क्या है - एक डिकॉय है, हमारे मामले में, बाहरी आईपी पर कुछ लोकप्रिय पोर्ट, बाहरी क्लाइंट से इस पोर्ट के लिए कोई भी अनुरोध src पते को काली सूची में भेजता है। सब।

/ip firewall filter
add action=add-src-to-address-list address-list="Honeypot Hacker" \
    address-list-timeout=30d0h0m chain=input comment="block honeypot ssh rdp winbox" \
    connection-state=new dst-port=22,3389,8291 in-interface=\
    ether4-wan protocol=tcp
add action=add-src-to-address-list address-list="Honeypot Hacker" \
    address-list-timeout=30d0h0m chain=input comment=\
    "block honeypot asterisk" connection-state=new dst-port=5060 \
    in-interface=ether4-wan protocol=udp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=\
    "Honeypot Hacker"

बाहरी टीसी 4-वैन इंटरफेस के लोकप्रिय टीसीपी पोर्ट 22, 3389, 8291 पर पहला नियम गेस्ट आईपी को हनीपोट हैकर सूची (एसएचएस, आरडीपी और विनबॉक्स के लिए पोर्ट अग्रिम रूप से या दूसरों को बदल दिया जाता है) में भेजता है। दूसरा लोकप्रिय यूडीपी 5060 पर एक ही करता है।

प्री-राउटिंग स्टेज पर तीसरा नियम "मेहमान" के पैकेट को गिराता है, जिसका सर-एड्रेस "हनीपोट हैकर" में मिलता है।

मेरे घर मिक्रोटिक के दो सप्ताह के काम के बाद, हनीपोट हैकर सूची में मेरे नेटवर्क संसाधनों (होम टेलीफोनी, मेल, अगलीक्लाउड, rdp) के udder-friendly प्रशंसकों के लगभग डेढ़ हज़ार आईपी पते शामिल थे। ब्रूट-फोर्स के हमले बंद हो गए, आनंद छा गया।

काम पर, सब कुछ इतना सरल नहीं निकला, वे क्रूर बल पासवर्ड के साथ आरडीपी सर्वर को तोड़ना जारी रखते हैं।

जाहिर तौर पर, हनीपोट चालू होने से बहुत पहले ही पोर्ट नंबर स्कैनर द्वारा निर्धारित किया जाता था, और संगरोध के दौरान 100 से अधिक उपयोगकर्ताओं को फिर से कॉन्फ़िगर करना इतना आसान नहीं है, जिनमें से 20% 65 वर्ष से अधिक पुराने हैं। मामले में जब बंदरगाह को नहीं बदला जा सकता है, तो काम करने का एक छोटा सा नुस्खा है। मैं इंटरनेट पर इसी तरह मिला था, लेकिन एक समाप्त और ठीक-ठीक ट्यूनिंग है:

पोर्ट नॉकिंग को कॉन्फ़िगर करने के नियम

 /ip firewall filter
add action=add-src-to-address-list address-list=rdp_blacklist \
    address-list-timeout=15m chain=forward comment=rdp_to_blacklist \
    connection-state=new dst-port=3389 protocol=tcp src-address-list=\
    rdp_stage12
add action=add-src-to-address-list address-list=rdp_stage12 \
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \
    protocol=tcp src-address-list=rdp_stage11
add action=add-src-to-address-list address-list=rdp_stage11 \
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \
    protocol=tcp src-address-list=rdp_stage10
add action=add-src-to-address-list address-list=rdp_stage10 \
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \
    protocol=tcp src-address-list=rdp_stage9
add action=add-src-to-address-list address-list=rdp_stage9 \
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \
    protocol=tcp src-address-list=rdp_stage8
add action=add-src-to-address-list address-list=rdp_stage8 \
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \
    protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage7 \
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \
    protocol=tcp src-address-list=rdp_stage6
add action=add-src-to-address-list address-list=rdp_stage6 \
    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \
    protocol=tcp src-address-list=rdp_stage5
add action=add-src-to-address-list address-list=rdp_stage5 \
    address-list-timeout=2m chain=forward connection-state=new dst-port=\
    3389 protocol=tcp src-address-list=rdp_stage4
add action=add-src-to-address-list address-list=rdp_stage4 \
    address-list-timeout=2m chain=forward connection-state=new dst-port=\
    3389 protocol=tcp src-address-list=rdp_stage3
add action=add-src-to-address-list address-list=rdp_stage3 \
    address-list-timeout=2m chain=forward connection-state=new dst-port=3389 \
    protocol=tcp src-address-list=rdp_stage2
add action=add-src-to-address-list address-list=rdp_stage2 \
    address-list-timeout=2m chain=forward connection-state=new dst-port=3389 \
    protocol=tcp src-address-list=rdp_stage1
add action=add-src-to-address-list address-list=rdp_stage1 \
    address-list-timeout=2m chain=forward connection-state=new dst-port=3389 \
    protocol=tcp 
/ip firewall raw
add action=drop chain=prerouting in-interface=ether4-wan src-address-list=\
rdp_blacklist

4 मिनट में, दूरस्थ क्लाइंट को RDP सर्वर को केवल 12 नए "अनुरोध" करने की अनुमति है। एक लॉगिन प्रयास 1 से 4 "अनुरोधों" से है। 12 वें "अनुरोध" पर - 15 मिनट के लिए एक ताला। मेरे मामले में, हमलावरों ने सर्वर को हैक करना बंद नहीं किया, उन्होंने टाइमर के लिए अनुकूलित किया और अब वे इसे बहुत धीमी गति से करते हैं, इस तरह की चयन गति हमले की दक्षता को शून्य तक कम कर देती है। उद्यम के कर्मचारी व्यावहारिक रूप से किए गए कार्यों में किसी भी असुविधा का अनुभव नहीं करते हैं।

एक और छोटी चाल

5, , .

/ip firewall filter 
add action=add-src-to-address-list address-list=rdp_blacklist \
    address-list-timeout=1w0d0h0m chain=forward comment=\
    "night_rdp_blacklist" connection-state=new disabled=\
    yes dst-port=3389 protocol=tcp src-address-list=rdp_stage8

8 IP . !

खैर, उपरोक्त के अलावा, मैं विकी लेख के लिए एक लिंक जोड़ूंगा, जिसमें नेटवर्क स्कैनर से मिकरोटिक की रक्षा करने की कार्य सेटिंग है। wiki.mikrotik.com/wiki/Drop_port_scanners

मेरे उपकरणों पर, यह सेटिंग ऊपर वर्णित हनीपोट नियमों के साथ मिलकर काम करती है, उन्हें अच्छी तरह से पूरक करती है।

UPD: जैसा कि टिप्पणियों में बताया गया है, राऊटर पर लोड को कम करने के लिए पैकेट ड्रॉप नियम को रॉ में स्थानांतरित कर दिया गया है।

अपने मिकरोटिक को हमलों से बचाने का एक आसान तरीका

More articles: