Настройка Honeypot в Mikrotik

[@Евгений-э2е3т]

Наконец то, как я долго этого ждал! Х)

[@alexandergl1378]

Давно ждал что кто-нибудь скажет о блокировке исходящего трафика на IP адрес злоумышленника, что является очень важным в части безопасности. Ура, свершилось. Иначе недопил получается, так при инфицировании из внутри - чем спасаться?

[@rsvidenko]

очень давно практикую это вместе с port-knock для добавления в Белые списки. Пускай от серьезных целевых это не защитит, но от ботов и cкрипт-кидди негодяев очень даже может быть

[@Xpl1985]

Если вдруг кому интересно, по мимо данного правила ещё можно подключать L7 и там достаточно не сложно выпарсиваются паттерны внутри пакетов, и если в пакете есть признаки мусора ip уходит в общий blacklist. Но это создаёт нагрузку и актуально в первую очередь для CHR

[@WrongBee13]

Актуально. Спасибо профи. Неужели ресурс флешки такой критичный?

[@evgenijivanovych9911]

Спасибо за туториал. Всё супер. Вопрос немного не из темы этого ролика: "Есть какие-нибудь годные биллинг системы по MAC-адресу(или IP) для CCR-1036". Желательно Open-source. Может есть видео или планируется?

[@MikrotikTraining]

Биллингом никогда не занимался, встречался с mikrobill, carbon, abills. Но вряд ли этот вопрос ко мне - я в основном работаю с корпоративными сетями, достаточно редко с isp.

[@evgenijivanovych9911]

@@MikrotikTraining , спасибо за ответ. Буду гуглить Ваши рекомендации)))

[@Fennst]

3:45 а можно же логи писать на внешнюю USB-флешку, вставленную в USB-порт роутера (hap ac2)? Так будет лучше, чем писать на внутреннюю? Или речь про что-то другое?

[@MikrotikTraining]

Речь не про логи. Про адрес-листы - их невозможно писать на внешний носитель.

[@Fennst]

@@MikrotikTraining ааа, то есть про системные конфиги, а они пишутся только во внутреннюю флешку

[@kardanium]

У меня на домашнем микроте такая приманка реализована. Любители полазить где не надо, залетают в перманентный бан на некоторый срок.

[@pat-bateman0]

Перманентный бан на некоторый срок это прекрасно😀😀

[@Odin.kirill]

Пермач вроде означает бессрочный бан)

[@kardanium]

@@pat-bateman0 Конечно прекрасно. Построено потому что так, что если с каких-то адресов происходит подозрительная активность постоянно, то эти IP из бана не выйдут никогда. А если в течении некоторого срока больше небыло подозрительной активности, то такие IP выбывают из бана. Засаживать в бан всех перманентно - никакой памяти не хватит. Потому есть таймаут на помилование. Ну а рецидивистам не будет пощады. 🤣

[@rsvidenko]

Использовал подобное решение в связке с port-knock, но были уже порты, соседствующие с теми, что добавляли по спискам... Решил добавить выше доп правило с sip 5060, указав в инпут wan... и спустя 5(!) дней отвалилась ип атс-ка) При этом не внешний провайдер, его пул добавил в списке дозволенных, а сами локальные аппараты перестали получать регистрацию. Полтергейст.

[@MikrotikTraining]

Тут только смотреть логи. Собираете netflow для этого?

[@bogdan-nike]

После перезагрузки роутера записи из таймером удаляются из адрес-листов. Означает ли это, что они(записи) находятся в оперативной памяти микротика, а не в постоянной флеш паняти?

[@MikrotikTraining]

Временные адрес листы не записываются в конфигурацию, не перезаписывают флешку и хранятся в оперативной памяти.

[@bogdan-nike]

@@MikrotikTraining Спасибо за ответ. Тогда постоянная запись и старание IP-адресов в адрес листы не изнашывает ячейки памяти флешки. Или я неправильно Вас понял в видео?

[@alx90]

А почему правило дропа сделали в Raw? И чем вообще отличаются правила Raw от Filter Rules?

[@DrakoshaSStas]

Прошлое видео посмотрите. Если просто, то raw выше чем filter rules, а чем быстрее остановится пакет, чем меньше ресурсов займёт у микротик

[@MikrotikTraining]

Менее ресурсоемкое.

[@fv1144]

Т.е. в данном примере вы рассматриваете блокировку трафика на основе адрес-листов, который до этого и так был заблокирован? В чем смысл?

[@Kursk-gdRu]

Давно использую метод борьбы ddos attack. Жаль что нельзя записывать данные на внешний носитель, тем самым обезопасить родную флешпамять

[@MikrotikTraining]

Не пишите в конфигурацию - оставляйте с тайм-аутом

[@Kursk-gdRu]

@@MikrotikTraining и так с тайм-аутом) раньше больше лезло, сейчас меньше вредителей

[@mr00root]

У меня 350к подсетей в разных листах, полёт нормальный

[@Nikolay-3d]

@@MikrotikTraining Не очень понятно - none dynamic ставить или задавать период сколько то дней?

[@Dustisfy]

Есть ли разница: добавлять в листы в filter rules или в mangle ?

[@MikrotikTraining]

Дешевле всего в raw.

[@rsvidenko]

@@MikrotikTraining а почему же демонстрируете в Filter rules?

[@ZlobniyTapoG]

Окей, а как жить, если надо подключаться с разных ип, в тч динамических (неизвестно какой будет ) ?

[@MrEstranged]

Завести себе vps и подключаться через него.

[@butzmanniam]

Ну или стучаться в порты.

[@ZlobniyTapoG]

@@butzmanniam Что значит стучаться в порты ?

[@MikrotikTraining]

Vpn, port knocking, dyndns, /ip cloud, jump host, не стучаться из непонятных сетей, etc - вариантов масса.

[@ZlobniyTapoG]

@@MikrotikTraining спасибо, port knocking действительно интересный и подходящий вариант в моем случае !

[@butzmanniam]

А отчего этот горшек не тарпитнуть вместо дропа? Уложиться также в одно правило.

[@butzmanniam]

Загадка. Что я имел в виду, написав "горшек"...

[@rsvidenko]

@@butzmanniam нулевой юмор

[@butzmanniam]

@@rsvidenko ась?

[@moplpoi]

Спасибо за Ваши видео. Вопросы: connection-state=new - не надо? in-interface - не нужно указывать?

[@MikrotikTraining]

Зависит от ситуации.

[@mark.gl1800]

Почему вы говорите будет заполняться адрес лист (в оперативку) А потом говорите берегите флеш-память?? Это же два разных чипа на плате.

[@MikrotikTraining]

Потому что берегите флеш память) всегда нужно беречь флеш память и помнить об этом)

[@mark.gl1800]

@Mikrotik Training То есть я правильно понял -(src to address list) никак не использует флеш? Но берегите флеш смолоду👌учтем

[@KlimenkoEY]

@@mark.gl1800 или не правильно поняли или не досказали. выставленная опция timeout делает так что адрес записывается в RAM, а не на SSD. записывается в конфиг: ip/firewall/address-list/add list=honeypot address=8.8.8.8 Не записывается в конфиг: ip/firewall/address-list/add list=honeypot address=8.8.8.8 timeout=3d

[@aleksbotler5358]

А при простукивании портов, флешь память не изнашивается?

[@MikrotikTraining]

Если не записывать в address list без тайм-аута, то изнашивается.

[@aleksbotler5358]

@@MikrotikTraining Тогда я вас недопонял, видимо, а в случае занесения в лист honeypot на несколько дней, оно пишется во флешь или в озу?

[@a-fedotov]

@@aleksbotler5358 Value of none-dynamic (00:00:00) will leave the address in the address list till reboot (до перезагрузки, следовательно пишется в оперативку) Value of none-static will leave the address in the address list forever and will be included in configuration export/backup (навсегда, пишется в флэш-память)

[@СашкаБелый-ч6м]

Как тарпид привлечёт больше злоумышленников на наш порт, если первый же заход на порт вносит его в чёрный лист. Есть тарпид или нету - злоумышленник всё равно сразу заблокирован.

[@MikrotikTraining]

Тарпид не для блокировки, а для ответа на tcp syn tcp ack - иначе без этого порт совсем закрыт.

[@СашкаБелый-ч6м]

@@MikrotikTraining но я говорю о Вашей фразе на 4:12 где вы вначале сделали блокировку и тут говорите - «мы можем прописать ещё дополнительное правило Тарпид, тем самым привлеча больше злоумышленников к нашему горшочку с мёдом». Вот этой фразы я и не понял. С чего это привлекутся дополнительные злоумышленники из-за Тарпида, при том что вы и так его баните при первом же входе.

[@andrey6951]

В одном видео говорите о сверхнадежности Микротика, а здесь о бэдблоках памяти)))))))))))

[@KlimenkoEY]

вообще) как посмел, правда?) это ведь идеальная богоугодная техника, она вообще никогда не ломается)) не то что какая то там CISCO )))

[@olegkn7769]

С LapTop-м точно не взломают ))))

[@Kchtulhoo]

а что может микротик сделать дополнительно своими сервисами, чтобы заниматься дополнительно бессмысленной тратой ресурсов?)) нет открытых дыр - блокируй, разве важно кто? анализа то нет. ддос атака - разве что поможет? эти "хонипоты" имеет смысл на вафле разворачивать.

[@MikrotikTraining]

Если у вас нет открытых сервисов для всех - то конечно смысла нет.

[@Артем-е8р6й]

Как это нет открытых дыр? Наружу торчит десяток портов rdp, удалённый доступ к видеонаблюдению, различные ftp, АТС и прочая шняга. И какие то из них вполне могут быть дырявыми. Вот чтобы на них не начали целенаправленную атаку вроде подбора пароля или эксплуатации известной уязвимости, нужно пресекать злоумышленников на этапе сканирования.

[@load-net]

На 443 ловите

[@necrokiller328]

Стучание часов очень мешает

[@dedpihto6402]

Тема интересная, формат тоже. Но этот идиотский монтаж с передёргиванием картинки раздражает. Выберите один ракурс или два, если вам так нравится, но исключите горе-оператора из кадра в отражении и не переключайтесь между ракурсами каждые 15 секунд.

[@PopovGP]

А по мне нормально. И за монтаж спасибо. Бесплатно обучение, ещё и с оформлением!

[@MikrotikTraining]

Передам оператору.

[@JOODY_SHOW]

Пришлите, плиз, ссылку на ваши работы, мы поглядим. Если у вас там уровень Тарантино и соблюдены все принципы монтажа по Соколову, тогда к вам прислушаемся. Если вы с дивана знаете лучше, как нам делать контент - тогда продолжайте сидеть на диване. Ждите следующих роликов, в процессе заметите, что монтаж становится лучше. Привет вам от горе-оператора)))))

[@PopovGP]

С монтажом и оформлением всё хорошо. Продолжайте в том же духе.

[@JOODY_SHOW]

@@PopovGP

[@kirosavaus6167]

+

[@carlgustov1984]

по-моему бесполезная фича. публиковать наружу какой то порт просто чтобы кого-то в бан лист вносить. зачем если можно просто скрыться сорс листом

[@MikrotikTraining]

Если нет ничего опубликованного, то да)

[@Артем-е8р6й]

Ну вот к примеру торчит наружу десяток открытых портов для rdp. Разумеется порты нестандартные, но найти их сканером и начать подбор для ботнетов не проблема. Для этого и устраивают защиту от сканирования. Собственно хонипот один из способов защиты от сканирования.