+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

вирусный список портов

вирусный список портов, RouterOS

Alex Guest	#1 0 15.06.2005 22:14:00 Привет всем, кто работает с Mikrotik! Можно ли выложить скрипт с заблокированными портами вирусов с демо-роутера на форум или куда-нибудь ещё? Я не могу войти в демо-роутер по FTP, а у демо-пользователя нет прав.

edzix Guest	#2 0 16.06.2005 12:33:00 Вставлено из терминала. Эдгарс.

tbutcher Guest	#3 0 16.06.2005 14:35:00 Как их экспортировать, а потом импортировать в другой MT box? Тим.

bax

Guest

16.06.2005 17:02:00

Несколько месяцев назад я уже выкладывал полный код на форум… просто искал на форуме… в любом случае, вот он снова:

```
ip firewall add name=virus
ip firewall rule input add in-interface=all action=jump \ jump-target=virus comment="!!! Проверка на известные вирусы !!!"
ip firewall rule forward add in-interface=all action=jump \ jump-target=virus comment="!!! Проверка на известные вирусы !!!"

ip firewall rule virus add dst-address=:135-139 protocol=tcp action=drop comment="Блокировка Blaster Worm."
ip firewall rule virus add dst-address=:135-139 protocol=udp action=drop comment="Блокировка Messenger Worm."
ip firewall rule virus add dst-address=:445 protocol=tcp action=drop comment="Блокировка Blaster Worm."
ip firewall rule virus add dst-address=:445 protocol=udp action=drop comment="Блокировка Blaster Worm."
ip firewall rule virus add dst-address=:593 protocol=tcp action=drop comment=".........."
ip firewall rule virus add dst-address=:1024-1030 protocol=tcp action=drop comment=".........."
ip firewall rule virus add dst-address=:1080 protocol=tcp action=drop comment="Блокировка MyDoom"
ip firewall rule virus add dst-address=:1214 protocol=tcp action=drop comment=".........."
ip firewall rule virus add dst-address=:1363 protocol=tcp action=drop comment="ndm requester"
ip firewall rule virus add dst-address=:1364 protocol=tcp action=drop comment="ndm server"
ip firewall rule virus add dst-address=:1368 protocol=tcp action=drop comment="screen cast"
ip firewall rule virus add dst-address=:1373 protocol=tcp action=drop comment="hromgrafx"
ip firewall rule virus add dst-address=:1377 protocol=tcp action=drop comment="cichlid"
ip firewall rule virus add dst-address=:1433-1434 protocol=tcp action=drop comment="Worm"
ip firewall rule virus add dst-address=:2745 protocol=tcp action=drop comment="Bagle Virus"
ip firewall rule virus add dst-address=:2283 protocol=tcp action=drop comment="Блокировка Dumaru.Y"
ip firewall rule virus add dst-address=:2535 protocol=tcp action=drop comment="Блокировка Beagle"
ip firewall rule virus add dst-address=:3127-3128 protocol=tcp action=drop comment="Блокировка MyDoom"
ip firewall rule virus add dst-address=:3410 protocol=tcp action=drop comment="Блокировка Backdoor OptixPro"
ip firewall rule virus add dst-address=:4444 protocol=tcp action=drop comment="Worm"
ip firewall rule virus add dst-address=:4444 protocol=udp action=drop comment="Worm"
ip firewall rule virus add dst-address=:5554 protocol=tcp action=drop comment="Блокировка Sasser"
ip firewall rule virus add dst-address=:8866 protocol=tcp action=drop comment="Блокировка Beagle.B"
ip firewall rule virus add dst-address=:10000 protocol=tcp action=drop comment="Блокировка Dumaru.Y"
ip firewall rule virus add dst-address=:10080 protocol=tcp action=drop comment="Блокировка MyDoom.B"
ip firewall rule virus add dst-address=:12345 protocol=tcp action=drop comment="Блокировка NetBus"
ip firewall rule virus add dst-address=:17300 protocol=tcp action=drop comment="Блокировка Kuang2"
ip firewall rule virus add dst-address=:27374 protocol=tcp action=drop comment="Блокировка SubSeven"
ip firewall rule virus add dst-address=:65506 protocol=tcp action=drop comment="Блокировка PhatBot, Agobot, Gaobot"
Просто скопируйте и вставьте…
```

Alex Guest	#5 0 16.06.2005 21:14:00 Спасибо.

OrCAD Guest	#6 0 06.07.2005 21:40:00 Пожалуйста, скинь список правил для работы с вирусами в терминале версии 2.9? 10x

sergejs Guest	#7 0 07.07.2005 08:10:00 Добавляй правила в ip firewall filter для chain=input… и т.д. ip firewall filter add chain=forward adn etc. ip firewall filter add chain=virus… и добавляй всё, что нужно.

OrCAD Guest	#8 0 07.07.2005 10:10:00 Всё в порядке, но очень просто скопировать и вставить из терминала… только из OS 2.9, потому что строка ввода в 2.8 отличается… ещё раз спасибо.

lovellh

Guest

10.07.2005 05:08:00

Содержимое правил брандмауэра / ip firewall set input name=“input” policy=accept comment=“” set forward name=“forward” policy=accept comment=“” set output name=“output” policy=accept comment=“” add name=“virus” policy=none comment=“” / ip firewall rule forward add connection-state=invalid action=drop comment=“Отбрасывать недействительные соединения” disabled=no add connection-state=established action=accept comment=“Установленные соединения” disabled=no add connection-state=related action=accept comment=“Связанные соединения” disabled=no add action=jump jump-target=virus comment=“!!! Проверять на известные вирусы !!!” disabled=no add protocol=udp action=accept comment=“UDP” disabled=no add protocol=icmp limit-count=50 limit-burst=2 limit-time=5s action=accept comment=“Разрешить ограниченное количество пингов” disabled=no add protocol=icmp action=drop comment=“Отбрасывать избыточные пинги” disabled=no / ip firewall rule input add connection-state=invalid action=drop comment=“Отбрасывать недействительные соединения” disabled=no add tcp-options=non-syn-only connection-state=established action=accept comment=“Принимать установленные соединения” disabled=no add connection-state=related action=accept comment=“Принимать связанные соединения” disabled=no add action=jump jump-target=virus comment=“!!! Проверять на известные вирусы !!!” disabled=no add protocol=udp action=accept comment=“UDP” disabled=no add protocol=icmp limit-count=50 limit-burst=2 limit-time=5s action=accept comment=“Разрешить ограниченное количество пингов” disabled=no add protocol=icmp action=drop comment=“Отбрасывать избыточные пинги” disabled=no add dst-address=:22 protocol=tcp action=accept comment=“SSH для демонстрационных целей” disabled=no add dst-address=:23 protocol=tcp action=accept comment=“Telnet для демонстрационных целей” disabled=no add dst-address=:80 protocol=tcp action=accept comment=“http для демонстрационных целей” disabled=no add dst-address=:3987 protocol=tcp action=accept comment=“winbox для демонстрационных целей” disabled=no add action=drop log=yes comment=“Логировать и отбрасывать все остальное” disabled=no / ip firewall rule virus add dst-address=:135-139 protocol=tcp action=drop comment=“Отбрасывать Blaster Worm” disabled=no add dst-address=:135-139 protocol=udp action=drop comment=“Отбрасывать Messenger Worm” disabled=no add dst-address=:445 protocol=tcp action=drop comment=“Отбрасывать Blaster Worm” disabled=no add dst-address=:445 protocol=udp action=drop comment=“Отбрасывать Blaster Worm” disabled=no add dst-address=:593 protocol=tcp action=drop comment=“ ” disabled=no add dst-address=:1024-1030 protocol=tcp action=drop comment=" ” disabled=no add dst-address=:1080 protocol=tcp action=drop comment=“Отбрасывать MyDoom” disabled=no add dst-address=:1214 protocol=tcp action=drop comment=“________” disabled=no add dst-address=:1363 protocol=tcp action=drop comment=“ndm requester” disabled=no add dst-address=:1364 protocol=tcp action=drop comment=“ndm server” disabled=no add dst-address=:1368 protocol=tcp action=drop comment=“screen cast” disabled=no add dst-address=:1373 protocol=tcp action=drop comment=“hromgrafx” disabled=no add dst-address=:1377 protocol=tcp action=drop comment=“cichlid” disabled=no add dst-address=:1433-1434 protocol=tcp action=drop comment=“Worm” disabled=no add dst-address=:2745 protocol=tcp action=drop comment=“Bagle Virus” disabled=no add dst-address=:2283 protocol=tcp action=drop comment=“Drop Dumaru.Y” disabled=no add dst-address=:2535 protocol=tcp action=drop comment=“Drop Beagle” disabled=no add dst-address=:2745 protocol=tcp action=drop comment=“Drop Beagle.C-K” disabled=no add dst-address=:3127-3128 protocol=tcp action=drop comment=“Drop MyDoom” disabled=no add dst-address=:3410 protocol=tcp action=drop comment=“Drop Backdoor OptixPro” disabled=no add dst-address=:4444 protocol=tcp action=drop comment=“Worm” disabled=no add dst-address=:4444 protocol=udp action=drop comment=“Worm” disabled=no add dst-address=:5554 protocol=tcp action=drop comment=“Drop Sasser” disabled=no add dst-address=:8866 protocol=tcp action=drop comment=“Drop Beagle.B” disabled=no add dst-address=:9898 protocol=tcp action=drop comment=“Drop Dabber.A-B” disabled=no add dst-address=:10000 protocol=tcp action=drop comment=“Drop Dumaru.Y” disabled=no add dst-address=:10080 protocol=tcp action=drop comment=“Drop MyDoom.B” disabled=no add dst-address=:12345 protocol=tcp action=drop comment=“Drop NetBus” disabled=no add dst-address=:17300 protocol=tcp action=drop comment=“Drop Kuang2” disabled=no add dst-address=:27374 protocol=tcp action=drop comment=“Drop SubSeven” disabled=no add dst-address=:65506 protocol=tcp action=drop comment=“Drop PhatBot, Agobot, Gaobot” disabled=no

gianluca Guest	#10 0 11.07.2005 20:09:00 Предполагаю, что p2p-программы (вроде Emule, eMule, или BitTorrent) тоже могут использовать эти порты, так что блокировка вирусов, вроде этого, может заблокировать и p2p-программу. У кого какой опыт на этот счет?

OrCAD Guest	#11 0 11.07.2005 21:37:00 Пожалуйста, выложи список в синтаксисе OS2.9! 10x

jp1 Guest	#12 0 12.07.2005 14:29:00 Неужели никакая TCP-программа не может выбрать случайный порт выше 1024 для обратного пути? Это как-нибудь помешает?

gianluca Guest	#13 0 12.07.2005 15:10:00 Вот это я и говорю…

Vadim

Guest

#14

14.07.2005 10:14:00

Предполагаю, что p2p-программы (вроде Emule, eDonkey или BitTorrent) тоже могут использовать эти порты, и блокировка вирусов такого типа может заблокировать и p2p-программу. Есть ли у кого опыт по этому поводу?

Да, это правда, но p2p-программы выбирают эти порты случайным образом, и если порт заблокирован файрволом, они просто пробуют другой. Значит, блокировка некоторых из этих портов не повлияет на работу p2p-программ.

marvin

Guest

#15

26.07.2005 15:45:00

У меня к тебе вопрос. Возможно ли получить IP-адрес или MAC-адрес компьютера, на котором обнаружен известный вирус? У наших клиентов только статические IP-адреса, так что мы сразу бы узнали, кто это, и могли бы позвонить или написать им, предупредив о возможном вирусе на их системе.

Vadim

Guest

#16

26.07.2005 18:40:00

Привет, Марвин!

Самый простой способ — включить логирование на правиле брандмауэра, которое фильтрует нежелательную вирусную активность. Или ты можешь создать правило переадресации для конкретной части трафика с действием "passthrough" и включить логирование на нём. Только будь осторожен, если делаешь это из Winbox на сильно загруженной системе. Поймать пару тысяч пакетов за несколько секунд, когда открыто окно логов, может привести к зависанию роутера. Выключай логирование, прежде чем открывать окно логов.

gianluca

Guest

#17

26.07.2005 20:12:00

Мы думаем о более глубоком решении: пропускать весь трафик с помощью правила под названием "virus" (которое проверяет все вирусы по правилам, описанным здесь). Также мы ограничиваем максимальное количество соединений с одного src-адреса до 120, так что если вирус открывает много соединений, лимит заполняется и клиент не может пользоваться интернетом. Если вирус обнаружен для определенного IP-адреса, мы хотели бы перенаправлять пользователя на локальную веб-страницу с надписью: "Внимание, у вас вирус". Дополнительная функция может заключаться в отображении названия вируса (если мы знаем правило, которое заблокировало трафик) и также иметь ссылку для скачивания этого/всех вирусов с этой страницы. Есть ли у кого-нибудь хорошие идеи по этому поводу или кто хотел бы сотрудничать в разработке такого решения? Мы можем создать команду и разработать это очень ценное решение для абонентов домашнего интернета.

timew

Guest

#18

20.08.2005 19:40:00

/ip firewall filter add chain=virus comment="Регламенты Антивируса"
/ip firewall filter add chain=forward connection-state=invalid action=drop comment="Блокировать недействительные соединения" disabled=no
/ip firewall filter add chain=forward connection-state=established action=accept comment="Установленные соединения" disabled=no
/ip firewall filter add chain=forward connection-state=related action=accept comment="Связанные соединения" disabled=no
/ip firewall filter add chain=forward action=jump jump-target=virus comment="!!! Проверка на известные вирусы !!!" disabled=no
/ip firewall filter add chain=forward protocol=udp action=accept comment="UDP" disabled=no
/ip firewall filter add chain=forward protocol=icmp limit=50/5,2 action=accept comment="Разрешить ограниченное количество Ping" disabled=no
/ip firewall filter add chain=forward protocol=icmp action=drop comment="Блокировать избыточные Ping" disabled=no
/ip firewall filter add chain=input connection-state=invalid action=drop comment="Блокировать недействительные соединения" disabled=no
/ip firewall filter add chain=input tcp-flags=!syn connection-state=established action=accept comment="Принимать установленные соединения" disabled=no
/ip firewall filter add chain=input connection-state=related action=accept comment="Принимать связанные соединения" disabled=no
/ip firewall filter add chain=input action=jump jump-target=virus comment="!!! Проверка на известные вирусы !!!" disabled=no
/ip firewall filter add chain=input protocol=udp action=accept comment="UDP" disabled=no
/ip firewall filter add chain=input protocol=icmp limit=50/5,2 action=accept comment="Разрешить ограниченное количество Ping" disabled=no
/ip firewall filter add chain=input protocol=icmp action=drop comment="Блокировать избыточные Ping" disabled=no
/ip firewall filter add chain=input dst-port=22 protocol=tcp action=accept comment="SSH для демонстрационных целей" disabled=no
/ip firewall filter add chain=input dst-port=23 protocol=tcp action=accept comment="Telnet для демонстрационных целей" disabled=no
/ip firewall filter add chain=input dst-port=80 protocol=tcp action=accept comment="http для демонстрационных целей" disabled=no
/ip firewall filter add chain=input dst-port=3987 protocol=tcp action=accept comment="Winbox для демонстрационных целей" disabled=no
/ip firewall filter add chain=input action=accept log=yes comment="Журналировать и блокировать все остальное" disabled=no
/ip firewall filter add chain=virus dst-port=135-139 protocol=tcp action=drop comment="Блокировать Blaster Worm" disabled=no
/ip firewall filter add chain=virus dst-port=135-139 protocol=udp action=drop comment="Блокировать Messenger Worm" disabled=no
/ip firewall filter add chain=virus dst-port=445 protocol=tcp action=drop comment="Блокировать Blaster Worm" disabled=no
/ip firewall filter add chain=virus dst-port=445 protocol=udp action=drop comment="Блокировать Blaster Worm" disabled=no
/ip firewall filter add chain=virus dst-port=593 protocol=tcp action=drop comment=" " disabled=no
/ip firewall filter add chain=virus dst-port=1024-1030 protocol=tcp action=drop comment=" " disabled=no
/ip firewall filter add chain=virus dst-port=1080 protocol=tcp action=drop comment="Блокировать MyDoom" disabled=no
/ip firewall filter add chain=virus dst-port=1214 protocol=tcp action=drop comment="________" disabled=no
/ip firewall filter add chain=virus dst-port=1363 protocol=tcp action=drop comment="ndm requester" disabled=no
/ip firewall filter add chain=virus dst-port=1364 protocol=tcp action=drop comment="ndm server" disabled=no
/ip firewall filter add chain=virus dst-port=1368 protocol=tcp action=drop comment="screen cast" disabled=no
/ip firewall filter add chain=virus dst-port=1373 protocol=tcp action=drop comment="hromgrafx" disabled=no
/ip firewall filter add chain=virus dst-port=1377 protocol=tcp action=drop comment="cichlid" disabled=no
/ip firewall filter add chain=virus dst-port=1433-1434 protocol=tcp action=drop comment="Worm" disabled=no
/ip firewall filter add chain=virus dst-port=2745 protocol=tcp action=drop comment="Bagle Virus" disabled=no
/ip firewall filter add chain=virus dst-port=2283 protocol=tcp action=drop comment="Блокировать Dumaru.Y" disabled=no
/ip firewall filter add chain=virus dst-port=2535 protocol=tcp action=drop comment="Блокировать Beagle" disabled=no
/ip firewall filter add chain=virus dst-port=2745 protocol=tcp action=drop comment="Блокировать Beagle.C-K" disabled=no
/ip firewall filter add chain=virus dst-port=3127-3128 protocol=tcp action=drop comment="Блокировать MyDoom" disabled=no
/ip firewall filter add chain=virus dst-port=3410 protocol=tcp action=drop comment="Блокировать Backdoor OptixPro" disabled=no
/ip firewall filter add chain=virus dst-port=4444 protocol=tcp action=drop comment="Worm" disabled=no
/ip firewall filter add chain=virus dst-port=4444 protocol=udp action=drop comment="Worm" disabled=no
/ip firewall filter add chain=virus dst-port=5554 protocol=tcp action=drop comment="Блокировать Sasser" disabled=no
/ip firewall filter add chain=virus dst-port=8866 protocol=tcp action=drop comment="Блокировать Beagle.B" disabled=no
/ip firewall filter add chain=virus dst-port=9898 protocol=tcp action=drop comment="Блокировать Dabber.A-B" disabled=no
/ip firewall filter add chain=virus dst-port=10000 protocol=tcp action=drop comment="Блокировать Dumaru.Y" disabled=no
/ip firewall filter add chain=virus dst-port=10080 protocol=tcp action=drop comment="Блокировать MyDoom.B" disabled=no
/ip firewall filter add chain=virus dst-port=12345 protocol=tcp action=drop comment="Блокировать NetBus" disabled=no
/ip firewall filter add chain=virus dst-port=17300 protocol=tcp action=drop comment="Блокировать Kuang2" disabled=no
/ip firewall filter add chain=virus dst-port=27374 protocol=tcp action=drop comment="Блокировать SubSeven" disabled=no
/ip firewall filter add chain=virus dst-port=65506 protocol=tcp action=drop comment="Блокировать PhatBot, Agobot, Gaobot" disabled=no

arffer Guest	#19 0 08.09.2005 22:57:00 Три вопроса о фильтрационном сете time's filter. В цепочке=forward, четвертое правило делает переход к цепочке вирусов. Поскольку цепочка вирусов не имеет возврата в конце, как вообще тестируются остальные три правила forward (приём udp, ограничение пингов, отбрасывание избыточных пингов)? Я не понимаю, как цепочка когда-либо возвращается к этим правилам. В секции chain=input, четвёртое правило тоже делает переход к цепочке проверки вирусов. Как сам роутер может быть успешно атакован вирусом/червём? Действительно ли роутеру нужна защита этой цепочкой? Последнее правило в секции chain=input утверждает в комментарии, что правило будет логировать и отбрасывать всё остальное. Но действие на правиле — accept. Не должно ли быть drop? Спасибо, что помогаете мне учиться!

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры