Бан адресов из лога неудачных попыток авторизации?

Question

[comradeRecky]

Всем доброго времени суток.
Возникла такая ситуация: некий телефон из DHCP-диапазона пытается залогиниться на веб-морде шлюза раз в 10-15сек. Очевидно, что телефон с какой-то дрянью. Иду в Filter Rules и прописываю дропы по этому MAC-у.
Естественно, что решение так себе. Хотелось бы узнать, как лучше защитить дорогой душе микротик от таких методов перебора внутри локалки и есть ли у Вас рабочие способы это автоматизировать?

Answer 1

[nApoBo3]

1. Изолированная сеть управления.
2. При попытке обратиться в одному из небезопасных портов( 20,21,22,23,25,110,465,993,3389,5160,8291 добавить по вкусу ) из любых иных сетей помещаем его в address list на определенное время( например сутки )
3. Все соединения из данного address list блокируем.

Comments

[comradeRecky]

По итогу решил в /ip service отключить лишние протоколы и добавить админские адреса для входа через winbox (Available From). Ну и придерживаться данного ответа. Спасибо.

Answer 2

[Константин Зайцев]

По таким исходным данным могу предложить два пути:
- скрипт анализирует лог, ищет неудачные попытки входа и вносит в черный список
- почитайте про port knocking

Comments

[comradeRecky]

- почитайте про port knocking

Очень интересная тема, благодарствую

Answer 3

[Александр Карабанов]

Рекомендую ознакомиться https://www.youtube.com/watch?v=wGDTWaDL8jc
Про fail2ban там тоже есть.

Answer 4

[Diman89]

На вики микротика была статья bruteforce login prevention