+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Максимальное число попыток входа за одну SSH-сессию

Максимальное число попыток входа за одну SSH-сессию, RouterOS

lawa256

Guest

08.11.2013 12:53:00

Привет, я пытаюсь уменьшить количество брутфорс-атак на ssh. Я реализовал известный набор правил ipchain, добавляя IP атакующего в черный список, однако, похоже, что ОС Mikrotik не позволяет ограничить число попыток входа в одной tcp-сессии, из-за чего получается много попыток до блокировки IP. Хотелось бы ограничить это тремя попытками на одну установленную tcp-сессию. Есть идеи? Спасибо.

rextended

Guest

31.03.2014 22:02:00

Мои предложения такие: поменять порт SSH на какой-нибудь случайный из диапазона 10 000–20 000, например на 19273. В поле «available from» добавить сети, с которых вы планируете подключаться, либо сделать скрипт, который, если за 10 секунд получит подключение с портов 18453, 17263 и 13897, добавит этот IP в поле «available from» и/или изменит настройки фаервола, чтобы разрешить доступ.

zervan

Guest

30.03.2014 20:38:00

Это решение не работает, потому что оно просто ограничивает количество попыток подключения с одного IP. Проблема в том, что злоумышленник создаёт всего одно соединение и через него использует перебор паролей. Я использую указанное решение, но всё равно вижу это — см. скриншот. Можно ли как-то ограничить количество попыток входа на одно соединение?

efaden Guest	#4 0 30.03.2014 20:46:00 Не думаю… почему бы просто не защитить ваш роутер и не использовать VPN для подключения. В общем, это плохая идея — оставлять такие сервисы открытыми. Или используйте port knocking и тому подобное.

zervan

Guest

30.03.2014 21:47:00

Да, это можно решить таким образом, но вопрос в том: можно ли ограничить количество попыток входа в одной сессии? Я думал, что RouterOS разрывает соединение после неудачной попытки входа, но, как видно, это не так.

efaden Guest	#6 0 30.03.2014 21:49:00 Отсюда и первая часть моего ответа. На самом деле, я не думаю, что можно как-то контролировать эти параметры SSH-сервера на RouterOS.

zervan

Guest

31.03.2014 19:47:00

Что думают остальные? Стоит ли Mikrotik менять такое поведение (отключение после неправильного пароля) или это вполне нормально? Я могу написать в поддержку Mikrotik и спросить у них, но сначала хотелось бы узнать мнения.

efaden Guest	#8 0 31.03.2014 21:55:00 Просто ограничьте доступ к сервису… Вот что делают большинство людей. Нежелательно, чтобы такие сервисы были открыты для всех. Отправлено с моего SCH-I545 через Tapatalk

normis

Guest

03.04.2014 07:23:00

zervan, не думаю, что ты прав. На странице про Bruteforce объясняется, как IP попадает в чёрный список после нескольких неправильных попыток. Он не может «взламывать с одного подключения», если пароль неверный — пользователя отключают. Убедись, что ты правильно реализовал правила из вики.

zervan

Guest

#10

03.04.2014 17:43:00

Ну, может, я допустил ошибку, и кто-то её найдёт, вот она:

/ip firewall filter add chain=input connection-state=established
add chain=input connection-state=related
add action=drop chain=input connection-state=invalid
add action=tarpit chain=input protocol=tcp src-address-list=blocked-addr
add action=drop chain=input src-address-list=blocked-addr
add action=jump chain=input comment="SSH" dst-port=2222 jump-target=input-ssh protocol=tcp
add action=log chain=input-ssh log-prefix="SSH brute-force" src-address-list=ssh-faza3
add action=add-src-to-address-list address-list=blocked-addr address-list-timeout=15m chain=input-ssh src-address-list=ssh-faza3
add action=add-src-to-address-list address-list=ssh-faza3 address-list-timeout=1m chain=input-ssh src-address-list=ssh-faza2
add action=add-src-to-address-list address-list=ssh-faza2 address-list-timeout=1m chain=input-ssh src-address-list=ssh-faza1
add action=add-src-to-address-list address-list=ssh-faza1 address-list-timeout=1m chain=input-ssh
add action=return chain=input-ssh

Это всего лишь часть более сложных тестов (не только SSH, но и сканирование, количество подключений и так далее).

zervan

Guest

#11

04.04.2014 08:40:00

Ой, извините, я ошибся. У меня два устройства с этим решением, и я показал логи с первого, а правила фаервола — со второго. Проблема в том, что я неправильно кликнул на первом — использовал add-dsc-to-address-list вместо add-src-to-address-list. Прошу прощения. Я проверю ещё раз (обычно у меня SSH на фаерволе выключен, собираюсь включить и посмотреть…).

normis Guest	#12 0 04.04.2014 09:08:00 Рад слышать, что вы нашли проблему. Дайте знать, если теперь всё работает.

zervan

Guest

#13

04.04.2014 21:04:00

Несмотря на мою ошибку, кажется, что эта защита не работает так, как ожидалось. Простой тест: запускаем Putty, пытаемся подключиться к SSH, используя неправильный пароль. RouterOS позволяет угадать пароль 6 раз за одно соединение! Значит, об этом будет 6 записей в логах, а правила защиты отметят только первую попытку. Вот почему я и сказал, что это не работает — если у нас 3 фазы, то разрешается 18 попыток входа.

drakath

Guest

#14

01.08.2014 00:44:00

Я знаю, что этот вопрос уже давно заезжен, но решил добавить свои пять копеек. Я тоже искал решение и выяснил, сколько максимум попыток входа разрешено, а также наткнулся на эту статью. У меня есть идея, которая могла бы сократить количество подключений, чтобы злоумышленник не получал 18 попыток. Нужно изменить скрипт и уменьшить количество этапов. 6 попыток входа — более чем достаточно, точка (по крайней мере, я так считаю). Я бы убрал второй и третий этапы. Первый этап длится 60 секунд. Предлагаю в этот период любые последующие попытки подключения блокировать и добавлять в черный список. Если вы действительно забыли пароль после 6 попыток, то 60 секунд уже могли пройти, или просто подождите. Такой подход позволит злоумышленнику сделать всего 6 попыток, а потом он будет заблокирован. Это альтернативное решение.

add chain=input protocol=tcp dst-port=22 src-address-list=ssh_blacklist action=drop comment=“drop ssh brute forcers” disabled=no
add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage1 action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=10d comment=“Added to blacklist because you tried to connect again after your first connection” disabled=no
add chain=input protocol=tcp dst-port=22 src-address-list=ssh_stage1 action=drop comment=“Drop if you try again during the first 60 seconds” disabled=no
add chain=input protocol=tcp dst-port=22 connection-state=new action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m comment=“First 60 second chance” disabled=no

rextended Guest	#15 0 01.08.2014 07:16:00 Если можешь, не сбрасывай, не загоняй в ловушку и не отвечай «сеть недоступна»…

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры