http://mikrotik.moscow Новое в теме Глубокий анализ пакетов (Deep Packet Inspection, DPI) форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 13 Aug 2026 14:27:01 -0400 Глубокий анализ пакетов (Deep Packet Inspection, DPI) RouterOS в форуме RouterOS.
Похоже, вы неправильно поняли моё предложение. AppLocker указывает расширения, которые нужно блокировать как исполняемые, и, очевидно, .JS — одно из них. Когда пользователь кликает по ссылке на .js, браузер сначала скачивает файл в %TEMP%, затем вызывает ОС для его запуска, и БАЦ — выполнение этого файла запрещено политикой. Всё работает идеально.
24.06.2016 17:22:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382185 http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382185 Fri, 24 Jun 2016 17:22:00 -0400 RouterOS Глубокий анализ пакетов (Deep Packet Inspection, DPI) RouterOS в форуме RouterOS.
Лично я считаю, что фильтрация на основе DNS будет становиться всё более важной, ведь угрозы в конечном итоге зависят либо от DNS, либо от заранее посчитанных хешей IP-адресов для связи. Когда специалисты по безопасности ловят и анализируют угрозы, эти заранее посчитанные IP-хеши легко заносить в черные списки. Доменные имена намного удобнее для злоумышленников, поэтому закрыть этот путь «нахождения родного дома» — ключевая задача. Если вредоносное ПО не может найти IP-адрес своей базы (или сайта-ловушки для фишинга и т.п.), угроза нейтрализована.

Полагаю, я просто не ищу DPI-сервис в Mikrotik по нескольким причинам. Во-первых, его основная функция — быть маршрутизатором, а не файрволом. Правила файрвола довольно гибкие и позволяют создавать всякие оригинальные, порой сомнительные конфигурации для разных задач. Однако главная ценность ROS — это именно маршрутизация, и в этом сегменте ещё много недоработок, много нужно обновлять и улучшать. Функционал IPv6 сейчас есть, но очень базовый. Если не развиваться в этом направлении, это будет постепенная гибель ROS как платформы для маршрутизации по мере роста популярности IPv6.

Во-вторых (и это не упрёк Mikrotik), я не думаю, что у компании достаточно ресурсов, чтобы уходить в такое узкоспециализированное направление, как устройства безопасности с глубоким анализом пакетов. Возьмём, например, CapsMan — замечательная штука, и, признаться, у меня с ней мало опыта, но она не кажется настолько развитой и функциональной, как другие Wi-Fi контроллеры, которые на рынке уже много лет. Это решение от Mikrotik, позволяющее сделать «все в одном», но оно не будет таким же мощным и «навороченным», как специализированное.

Сам ROS, как всем известно в сообществе, часто страдает от багов с выходом новых версий (здесь Mikrotik молодцы с постоянными патчами). Разработку The Dude — NMS-решения Mikrotik — долго тормозили, судя по разным обсуждениям, из-за отсутствия сотрудников внутри компании. Продукты Mikrotik известны тем, что у них много шероховатостей на старте (2011-й имел проблемы, 3011-й стал надежнее только спустя год, кажется, при запуске линий CCR были неприятности с платформой tilera и так далее).

Все это складывается в картину, и если бы Mikrotik выпустил DPI-модуль для RouterOS, действительно ли вы захотели бы доверять безопасность своей сети продукту-новичку от Mikrotik? Для домашней сети — возможно, для студенческой компьютерной лаборатории, гостевой сети и тому подобного — вполне подходит. Такой модуль мог бы стать полезным для ROS, а спустя несколько лет развития — вполне надежной функцией.

Лично я не люблю «все в одном». Из моего опыта такие решения либо предлагают много возможностей среднего качества (ничего выдающегося), либо при серьёзной нагрузке начинают плохо масштабироваться и теряют производительность (представьте, что кто-то пытается использовать mAP lite в качестве PE-маршрутизатора MPLS — поддерживается, но...).

Лучше иметь отличный файрвол и отличный маршрутизатор по отдельности, чем один средний девайс у входа в сеть. Особенно это важно в вопросах безопасности — ложное чувство защищённости порой хуже, чем полной отсутствия защиты.

Опять же, это не критика Mikrotik — они делают классные штуки и прекрасно справляются с тем, что умеют, и за хорошую цену, но они не панацея. Я бы предпочёл, чтобы они сосредоточились на совершенствовании функций маршрутизации, а не распылялись на развитие полноценного файрвола.
24.06.2016 15:35:00, ZeroByte.]]> http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382184 http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382184 Fri, 24 Jun 2016 15:35:00 -0400 RouterOS Глубокий анализ пакетов (Deep Packet Inspection, DPI) RouterOS в форуме RouterOS.
Ты говоришь о ситуации с угрозами пять лет назад. При этом полностью игнорируешь те сценарии, которые я описал. Прочитай это и разберись: https://nakedsecurity.sophos.com/2016/06/20/ransomware-thats-100-pure-javascript-no-download-required/ /Uwe
24.06.2016 13:34:00, harry66.]]> http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382183 http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382183 Fri, 24 Jun 2016 13:34:00 -0400 RouterOS Глубокий анализ пакетов (Deep Packet Inspection, DPI) RouterOS в форуме RouterOS.
Я не считаю просмотр зашифрованного сетевого трафика решением вашей проблемы. Даже если такой просмотр есть, вы всё равно будете пропускать вредоносное ПО к пользователю, потому что сигнатуры не обновлены. Что действительно работает: пусть пользователи работают под обычной учётной записью, а не под учеткой с правами администратора или локального администратора; внедрите политики AppLocker, которые разрешают запуск программ только из известных директорий, таких как C:\Windows и C:\Program Files, а не из C:\Users (C:\Documents and Settings). Главное правило: запуск программ не должен разрешаться из папок, куда пользователи могут записывать свои данные. Ещё поможет выставить в проводнике отображение расширений файлов (а не это глупое стандартное скрытие).
24.06.2016 12:27:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382182 http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382182 Fri, 24 Jun 2016 12:27:00 -0400 RouterOS Глубокий анализ пакетов (Deep Packet Inspection, DPI) RouterOS в форуме RouterOS.
Этот подход не учитывает, что 90% ваших заражений происходит через одно единственное приложение, которым вы таким образом не можете контролировать — интернет-браузер. Очень много систем в эксплуатации либо устарели, либо не могут быть защищены средствами endpoint protection (например, Windows XP, UNIX-системы).

Есть ли у вас альтернативные методы защиты от криптолокирующего вредоносного ПО вместо фильтрации, как описано выше? Конечно, подделывать сертификаты и устраивать целенаправленные атаки «человек посередине» — идея не идеальная. Как только речь заходит о технологиях, всегда приходится думать о затратах.

Централизованное решение — всегда самый экономичный вариант как с точки зрения инвестиций, так и по времени работы сотрудников. Всё остальное едва ли практично или же применимо только в отдельных случаях, например, в актуальной среде Windows/AD. Но в реальной жизни всё иначе.

Не поймите меня неправильно, я открыт к обсуждению. Я не вижу способа обойти централизованную фильтрацию и внедрение/контроль политик на уровне прокси. Возможности RouterOS в этой области едва развиты, тут есть большой запас для улучшений.

И да, поддерживать базы данных в актуальном состоянии — это огромная нагрузка. Поэтому я хотя бы ожидал бы предложения о взаимодействии с другими системами, например, Untangle. При этом я не вижу особых сложностей, чтобы добавить такую функцию в RouterOS. Untangle просто покупает сервис Bitdefender, Sophos — сервис Avira. В этом нет ничего сложного.
24.06.2016 09:29:00, harry66.]]> http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382181 http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382181 Fri, 24 Jun 2016 09:29:00 -0400 RouterOS Глубокий анализ пакетов (Deep Packet Inspection, DPI) RouterOS в форуме RouterOS.
Эти «два года» — просто предположение о том, когда все начнут применять контрмеры против этого. Но уже сегодня браузер Google Chrome обнаруживает многие из таких «решений», особенно на известных сервисах. В долгосрочной перспективе подделывать сертификаты перестанут принимать, и, конечно, это правильно. Защищать свои данные с помощью распознавания по шаблонам — не лучшая идея, гораздо разумнее установить на конечных устройствах политики, которые блокируют запуск нежелательного ПО (например, AppLocker на Windows). По крайней мере, так можно защититься от вредоносных программ, которых еще нет в базе шаблонов — а это сейчас очень распространённая ситуация.
24.06.2016 08:57:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382180 http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382180 Fri, 24 Jun 2016 08:57:00 -0400 RouterOS Глубокий анализ пакетов (Deep Packet Inspection, DPI) RouterOS в форуме RouterOS.
Правильно ли говорить, что это перестанет работать через два года? Речь идет о защите информации от угроз, с которыми мы сталкиваемся сегодня. Сейчас. Совсем не важно, устареет ли эта технология через два года. Это быстро развивающийся рынок, и эффективные меры нужны именно сейчас. Эффективная мера сегодня — расшифровывать SSL на уровне L7 и анализировать, фильтровать всё, что там происходит. Нужен своего рода «сопоставитель шаблонов» в ваших коммуникациях, чтобы фильтровать вредоносный код. Нужно ограничить количество приложений, используемых на L7. Нужно убедиться, что порт 80 используется для HTTP-трафика, 443 для HTTPS, DNS — для DNS и так далее. Всё остальное просто неэффективно. Было бы здорово, если бы Mtik задумались о добавлении этой функции в свои продукты. Мощность ARM-процессоров уже достигает уровня, позволяющего это реализовать. Платформы на базе RB3011 и CCR Tile должны спокойно справляться с базой вирусов и сопоставлением по хэшам. Просто подключитесь к какой-нибудь базе шаблонов вредоносного ПО вроде Bitdefender или Avira и предоставьте качественный сервис. Честно говоря, мне неприятно запускать ещё одну машину (в моём случае это Untangle), чтобы пропускать через неё трафик для проверки на вредоносное ПО. @Mikrotik: есть ли у вас планы по дальнейшему развитию RouterOS? Может, вы собираетесь выпустить специальное устройство? Дадите рекомендации по интеграции с уже существующими решениями от других вендоров? Хуже всего будет просто игнорировать реальные угрозы, с которыми мы сталкиваемся... Жду ответа. Хотелось бы увидеть сроки. У меня много устройств Mtik в работе, но складывается впечатление, что они не совсем готовы к такой задаче. /Uwe
24.06.2016 08:46:00, harry66.]]> http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382179 http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382179 Fri, 24 Jun 2016 08:46:00 -0400 RouterOS Глубокий анализ пакетов (Deep Packet Inspection, DPI) RouterOS в форуме RouterOS.
Сколько ещё это будет работать? Я думаю, что это решение перестанет работать через год или два…
22.06.2016 14:03:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382178 http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382178 Wed, 22 Jun 2016 14:03:00 -0400 RouterOS Глубокий анализ пакетов (Deep Packet Inspection, DPI) RouterOS в форуме RouterOS.
Спасибо, дружище, ценю это. Мы использовали Solarwinds и ещё несколько анализаторов сетевого трафика NetFlow, которые были так себе, скорее просто нормальные. Лучше бы Mikrotik нашли своё решение и сделали что-то похожее на Fortigate, Meraki или Ubiquiti. Я работаю с Mikrotik уже больше шести лет, для меня всё понятно, также знаком с Fortigate и Cisco, с Sophos я никогда не связывался. За последние три года функции в брандмауэрах сильно изменились — теперь они умеют делать намного больше: обнаруживать вирусы, вредоносное ПО, DPI, и в ближайшие годы будет ещё больше новшеств. Очень бы хотел, чтобы Mikrotik сделал что-то подобное в новом ROS 7.
22.06.2016 13:11:00, parham.]]> http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382177 http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382177 Wed, 22 Jun 2016 13:11:00 -0400 RouterOS Глубокий анализ пакетов (Deep Packet Inspection, DPI) RouterOS в форуме RouterOS.
Мы часто занимаемся подобным для корпоративных клиентов. Честно говоря, здесь нужен комплексный подход. Нужен UTM/NGFW, который умеет делать следующее: SSL Man In The Middle (расшифровка по ходу передачи, требует CA и установки вашего сертификата на клиентских устройствах); идентификацию и классификацию трафика на основе DNS; детекцию на основе эвристик и сигнатур (часто входит в IPS-пакет). Примеры устройств, которые могут это точно делать — Palo Alto Networks, Fortigate и Sophos XG. По моему мнению, борьба с этим — проигрышное дело. Пока метод SSL MITM работает, но с распространением таких технологий, как SQRL, выполнять MITM станет практически невозможно, и придётся полагаться на эвристику и DNS-совпадения, которые работают не так точно.
22.06.2016 11:10:00, nz_monkey.]]> http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382176 http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382176 Wed, 22 Jun 2016 11:10:00 -0400 RouterOS Глубокий анализ пакетов (Deep Packet Inspection, DPI) RouterOS в форуме RouterOS.
Вы окажетесь в сложной ситуации между владельцами компаний, которые хотят знать, что происходит в их сетях, и/или блокировать определённые действия, и защитниками конфиденциальности, которые стремятся сделать такую проверку невозможной, например, используя повсеместное шифрование.
22.06.2016 10:48:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382175 http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382175 Wed, 22 Jun 2016 10:48:00 -0400 RouterOS Глубокий анализ пакетов (Deep Packet Inspection, DPI) RouterOS в форуме RouterOS.
Спасибо за добавление списка доменных адресов — это очень полезно в версии 6.36. Но как IT-консультантская компания с более чем 50 устройствами Mikrotik у клиентов, которые работают без нареканий, у меня есть несколько клиентов, интересующихся не блокировкой, а активностью пользователей — они хотят знать, чем занимаются сотрудники. Я могу предложить им Ubiquiti DPI или Meraki AP для этого, но было бы очень здорово, если бы такая функция появилась в ROS7, что я уже и запрашивал.
22.06.2016 09:13:00, parham.]]> http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382174 http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382174 Wed, 22 Jun 2016 09:13:00 -0400 RouterOS Глубокий анализ пакетов (Deep Packet Inspection, DPI) RouterOS в форуме RouterOS.
Возможна ли в Mikrotik реализация Deep Packet Inspection (DPI)?
28.05.2016 18:02:00, jberen.]]> http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382173 http://mikrotik.moscow/forum/forum57/83993-glubokiy-analiz-paketov-_deep-packet-inspection_-dpi/message382173 Sat, 28 May 2016 18:02:00 -0400 RouterOS