Брутфорс и как я с ним борюсь при помощи МикроТик

Замечание! Информация устарела. Усовершенствованный подход можно посмотреть тут:  Mikrotik. Защищаем RDP от брутфорса

Замучили меня брутфорсеры…. В секунду идёт по 3-4 попытки подбора паролей к Терминальному серверу.

И тут!!! Вдруг!!! Я вспомнил, что у меня же МикроТик стоит!!!!

А тут вот хорошая идея есть: https://wiki.mikrotik.com/wiki/Bruteforce_login_preve..

Короче, задал я перцу брутфорсерам сначала так:

/ip firewall filter
add action=drop chain=forward comment=”Drop RDP brute forcers” dst-port=3389 \
protocol=tcp src-address-list=rdp_blacklist

add action=add-src-to-address-list address-list=rdp_blacklist \
address-list-timeout=1h chain=forward comment=”If there were 6 attempts to\
\_connect, we block for 1 hour. (Two new packages per connection attempt)” \
connection-state=new dst-port=3389 protocol=tcp src-address-list=\
rdp_stage6

add action=add-src-to-address-list address-list=rdp_stage6 \
address-list-timeout=1m chain=forward comment=”Sixth connection attempt” \
connection-state=new dst-port=3389 protocol=tcp src-address-list=\
rdp_stage5

add action=add-src-to-address-list address-list=rdp_stage5 \
address-list-timeout=1m chain=forward comment=”Fifth connection attempt” \
connection-state=new dst-port=3389 protocol=tcp src-address-list=\
rdp_stage4

add action=add-src-to-address-list address-list=rdp_stage4 \
address-list-timeout=1m chain=forward comment=”Fourth connection attempt” \
connection-state=new dst-port=3389 protocol=tcp src-address-list=\
rdp_stage3

add action=add-src-to-address-list address-list=rdp_stage3 \
address-list-timeout=1m chain=forward comment=”Third connection attempt” \
connection-state=new dst-port=3389 protocol=tcp src-address-list=\
rdp_stage2

add action=add-src-to-address-list address-list=rdp_stage2 \
address-list-timeout=1m chain=forward comment=”Second connection attempt” \
connection-state=new dst-port=3389 protocol=tcp src-address-list=\
rdp_stage1

add action=add-src-to-address-list address-list=rdp_stage1 \
address-list-timeout=1m chain=forward comment=”First connection attempt” \
connection-state=new dst-port=3389 protocol=tcp

А потом подумал, и сделал вариант покороче:

/ip firewall filter

add action=jump chain=forward comment=\
“Go into the chain for detecting Bruteforcers” connection-state=new \
dst-port=3389 jump-target=BruteForcersDetect protocol=tcp

add action=accept chain=BruteForcersDetect comment=\
“Accept 10 new connections that occurred within 1 minute” dst-limit=\
1/1m,9,dst-address/1m

add action=drop chain=BruteForcersDetect comment=”Drop Bruteforcers” \
src-address-list=BruteForcers

add action=add-src-to-address-list address-list=BruteForcers \
address-list-timeout=15m chain=BruteForcersDetect comment=\
“Adding an address to the list of Bruteforcers”

add action=return chain=BruteForcersDetect comment=”End of chain and return.”

Второй вариант хоть и короче, но позволит при необходимости легко изменять количество попыток подбора паролей и пропускать запросы с адресов из “белого списка”.

Ура!!!

 

PS.

!!! В новости есть несколько  ошибок и недочётов, но общее направление “куда копать” указано верно !!!