MHELP.PRO [DE] Mehrere Optionen zum Schutz vor BruteForce-Angriffen auf MikroTik-Geräte (MikroTik Fail2Ban), für Winbox-, Web- oder SSH-Verbindungen mit MikroTik Firewall. Einfache Sperrung der IP-Adresse des Angreifers nach dem ersten falschen Passwortversuch oder Sperrung der IP-Adresse nach mehreren Passwortversuchen. Getestet auf RouterOS 7-Version.
Wählen Sie die Option Fail2Ban abhängig von der verwendeten Anmeldemethode, es ist nicht notwendig, alle verfügbaren Anmeldemethoden auf dem MikroTik-Gerät zu verwenden (ich verwende nur Winbox).
In diesem Artikel verwende ich Jump-Ketten in der MikroTik-Firewall, weil sie weniger CPU-intensiv sind und die im Artikel verwendete Blockierungsmethode einfach anzupassen und zu erweitern ist.
✏️ Achtung: Da ein Brute Force Angriff auf ein Gerät von einem vertrauenswürdigen internen Netzwerk ausgehen kann (dies ist sehr wichtig, dies rechtzeitig zu wissen), werden gemäß den festgelegten Regeln alle angreifenden IP-Adressen in BlackList gesetzt.
Andere Sprachen:
- ?? MikroTik Blocking Brute Force Attacks
- ?? MikroTik Bloqueo de ataques de BruteForce
- ?? MikroTik защита от BruteForce атаки
- ?? MikroTik Blocage des attaques par BruteForce
- ?? MikroTik Brute Force aanvallen blokkeren
- ?? MikroTik: bloqueio de ataques de Força Bruta
- ?? MikroTik Menyekat Serangan Brute Force
Fail2Ban Winbox
Schutz von MikroTik vor einem Brute-Force-Angriff bei Verbindung über Winbox (IP-Adresse) mit MikroTik Firewall. Bei jedem falschen Passwortversuch via Winbox sendet MikroTik den Klartext „invalid user name or password“ zurück.
Information:
- Chain: output
- Protocol: 6 (tcp)
- Src. Port: 8291
- Content: invalid user name or password
1 Versuch
Sperrung nach einem falschen Passwort versuch:
/ip firewall filter add action=add-dst-to-address-list address-list=BlackList address-list-timeout=10m chain=output comment="F2B Winbox: Login Failure -> BlackList" content="invalid user name or password" protocol=tcp src-port=82913 Versuche
Sperren der Ziel-IP-Adresse nach drei falschen Passwort Versuchen.
Beschreibung:
- Wenn das Paket die Bedingungen erfüllt, wird die Paketverarbeitung an die Fail2Ban-Destination-IP-Kette gesendet;
- Wenn sich die Ziel-IP-Adresse bereits in der LoginFailure02-Liste befindet, wird die Ziel-IP-Adresse für 10 Minuten zur BlackList hinzugefügt;
- Wenn sich die Ziel-IP-Adresse bereits in der Liste LoginFailure01 befindet, wird die Ziel-IP-Adresse für 2 Minuten zur Liste LoginFailure02 hinzugefügt;
- Die Ziel-IP-Adresse wird für 1 Minute zur Liste LoginFailure01 hinzugefügt.
Regeln:
/ip firewall filter add action=jump chain=output comment="F2B Winbox: Jump to Fail2Ban-Destination-IP chain" content="invalid user name or password" jump-target=Fail2Ban-Destination-IP protocol=tcp src-port=8291
/ip firewall filter add action=add-dst-to-address-list address-list=BlackList address-list-timeout=10m chain=Fail2Ban-Destination-IP comment="3 Attempt --> BlackList" dst-address-list=LoginFailure02
/ip firewall filter add action=add-dst-to-address-list address-list=LoginFailure02 address-list-timeout=2m chain=Fail2Ban-Destination-IP comment="2 Attempt --> LoginFailure02" dst-address-list=LoginFailure01
/ip firewall filter add action=add-dst-to-address-list address-list=LoginFailure01 address-list-timeout=1m chain=Fail2Ban-Destination-IP comment="1 Attempt --> LoginFailure01"Fail2Ban Web
Schutz von MikroTik vor Passwort BruteForce bei Verbindung über die Webschnittstelle mit MikroTik Firewall. Bei einem ungültigen Zugriffsversuch sendet MikroTik eine Antwortnachricht mit dem Klartext „Error 403“.
80 ist der Standardport der MikroTik-Weboberfläche, ich empfehle, ihn zu ändern. Im Beispiel ist ein nicht standardmäßiger Port angegeben – 90. Im Artikel „MikroTik-Schutz (grundlegende Geräte Sicherheitseinstellung)“ – wird der TCP-Port 80 als Trap verwendet, um den Port-Scanner zu blockieren.
Information:
- Chain: output
- Protocol: 6 (tcp)
- Scr. Port: Web port (Beispiel: 90)
- Content: Error 403
1 Versuch
Sperrung nach einem falschen Passwort versuch:
/ip firewall filter add action=add-dst-to-address-list address-list=BlackList address-list-timeout=10m chain=output comment="F2B Web: Login Failure -> BlackList" connection-state=established content="Error 403" protocol=tcp src-port=903 Versuche
Sperren der Ziel-IP-Adresse nach drei falschen Passwort Versuchen.
Beschreibung:
- Wenn das Paket die Bedingungen erfüllt, wird die Paketverarbeitung an die Fail2Ban-Destination-IP-Kette gesendet;
- Wenn sich die Ziel-IP-Adresse bereits in der LoginFailure02-Liste befindet, wird die Ziel-IP-Adresse für 10 Minuten zur BlackList hinzugefügt;
- Wenn sich die Ziel-IP-Adresse bereits in der Liste LoginFailure01 befindet, wird die Ziel-IP-Adresse für 2 Minuten zur Liste LoginFailure02 hinzugefügt;
- Die Ziel-IP-Adresse wird für 1 Minute zur Liste LoginFailure01 hinzugefügt.
Regeln:
/ip firewall filter add action=jump chain=output comment="F2B Web: Jump to Fail2Ban-Destination-IP chain" connection-state=established content="Error 403" jump-target=Fail2Ban-Destination-IP protocol=tcp src-port=90
/ip firewall filter add action=add-dst-to-address-list address-list=BlackList address-list-timeout=10m chain=Fail2Ban-Destination-IP comment="3 Attempt --> BlackList" dst-address-list=LoginFailure02
/ip firewall filter add action=add-dst-to-address-list address-list=LoginFailure02 address-list-timeout=2m chain=Fail2Ban-Destination-IP comment="2 Attempt --> LoginFailure02" dst-address-list=LoginFailure01
/ip firewall filter add action=add-dst-to-address-list address-list=LoginFailure01 address-list-timeout=1m chain=Fail2Ban-Destination-IP comment="1 Attempt --> LoginFailure01"Fail2Ban SSH
Schutz von MikroTik (Fail2Ban) vor Brute Force Angriffen auf die SSH-Verbindung mit MikroTik Firewall. Um ein Passwort über SSH anzufordern, sendet das MikroTik-Gerät ein Paket von 304 Bytes an die Zieladresse, wir verfolgen die Anzahl der Pakete, die an eine bestimmte IP-Adresse gesendet werden.
✏️ Das Blockieren von Brute Force Angriffen über einen neuen Verbindungsstatus ist unzuverlässig (ich sehe diese Empfehlung oft online). Der Status Neu wird einer Verbindung zugewiesen, wenn sie mit einem Gerät verbunden wird, aber die Anzahl der möglichen Versuche, ein Passwort einzugeben, ist programmabhängig. Durch Eingabe des Logins des Benutzers kann ein Angreifer 3 bis 7 verschiedene Passwortoptionen eingeben, bevor die Verbindung beendet wird.
Information:
- Chain: input
- Protocol: 6 (tcp)
- Dst. Port: 22
- Connection State: estabished
- Packet Size: 304
- TCP Flags: psh, ack
1 Versuch
Sperrung nach einem falschen Passwort versuch:
/ip firewall filter add action=add-src-to-address-list address-list=BlackList address-list-timeout=10m chain=input comment="F2B SSH: Login Failure -> BlackList" connection-state=established dst-port=22 packet-size=304 protocol=tcp3 Versuche
Sperren der Quell-IP-Adresse nach drei falschen Passwort Versuchen.
Beschreibung:
- Wenn das Paket die Bedingungen erfüllt, wird die Paketverarbeitung an die Fail2Ban-Destination-IP-Kette gesendet;
- Wenn sich die Quell-IP-Adresse in der LoginFailure02-Liste befindet, wird die Quell-IP-Adresse für 10 Minuten zur BlackList hinzugefügt;
- Wenn sich die Quell-IP-Adresse in der LoginFailure01-Liste befindet, wird die Quell-IP-Adresse für 2 Minuten zur LoginFailure02-Liste hinzugefügt;
- Die Quell-IP-Adresse wird für 1 Minute zur Liste LoginFailure01 hinzugefügt.
Regeln:
/ip firewall filter add action=jump chain=input comment="F2B SSH: Jump to Fail2Ban-Source-IP chain" connection-state=established dst-port=22 jump-target=Fail2Ban-Source-IP packet-size=304 protocol=tcp
/ip firewall filter add action=add-src-to-address-list address-list=BlackList address-list-timeout=10m chain=Fail2Ban-Source-IP comment="3 Attempt --> BlackList" src-address-list=LoginFailure02
/ip firewall filter add action=add-src-to-address-list address-list=LoginFailure02 address-list-timeout=2m chain=Fail2Ban-Source-IP comment="2 Attempt --> LoginFailure02" src-address-list=LoginFailure01
/ip firewall filter add action=add-src-to-address-list address-list=LoginFailure01 address-list-timeout=1m chain=Fail2Ban-Source-IP comment="1 Attempt --> LoginFailure01"BlackList
Wir blockieren alle Daten von IP-Adressen aus der BlackList-Liste. Wir platzieren die Regel in der Firewall Raw-Kette.
/ip firewall raw
add action=drop chain=prerouting comment="Drop all" src-address-list=BlackList? In diesem Artikel wurde beschrieben, wie der Schutz vor Brute Force Angriffen (MikroTIk Fail2Ban) auf einem MikroTik-Gerät mithilfe der MikroTik-Firewall konfiguriert wird. Ich hoffe, Sie können den Fail To Ban-Schutz für Winbox-, Web- und SSH-Verbindungen einrichten. Wenn Sie jedoch beim Einrichten auf Probleme stoßen, können Sie dies gerne in den Kommentaren schreiben. Ich werde versuchen zu helfen.