+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

IPS/IDS с SELK

IPS/IDS с SELK, RouterOS

An5teifo

Guest

08.02.2023 14:07:00

Дорогие форумчане, недавно я полностью перешёл с OPNsense на Mikrotik и немного переживал, ведь у Mikrotik нет встроенного IDS/IPS. К счастью, в интернете нашлись решения, которые я реализовал, и хочу поделиться с вами парой советов и хитростей.

Я нашёл проект на GitHub под названием mikrocata2selks (https://github.com/angolo40/mikrocata2selks), который использует Packet Sniffer от Mikrotik + Suricata + удобный интерфейс Kibana. Клонируйте репозиторий на ваше устройство (выделенный ПК, виртуалку, сервер и т.п.) — желательно иметь не менее 10 ГБ ОЗУ и 4 ядра, так как нужно проверять каждый полученный пакет. Лично я не советую просто запускать скрипт easyinstall, лучше выполнить все шаги вручную.

В общем, что делает проект:
- Создаёт выделённый фиктивный интерфейс, на котором Suricata будет слушать;
- Устанавливает «конвертер» для потока трафика Mikrotik в формат, читаемый Suricata;
- Ставит SELKS (https://github.com/StamusNetworks/SELKS);
- Использует API Mikrotik, чтобы добавлять плохие IP в специальный список, который потом нужно добавить в меню файервола.

На роутере Mikrotik я настроил фильтр Packet Sniffer, чтобы он пересылал только tcp и udp пакеты — иначе он отправлял бы и другие пакеты, которые Suricata не понимает.

Если у вас есть вопросы или более удачные варианты, не стесняйтесь, пишите в комментариях.

rextended

Guest

27.02.2023 11:50:00

А что насчёт примера глупого администратора, который оставляет двери открытыми просто так??? Да что это за управление вообще??? Неважно, какие устройства подключены и как они настроены, если сеть потом так вот управляют…

fewdenis Guest	#3 0 26.02.2023 18:03:00 Это протестировано только на Debian 11, но должно работать и на Ubuntu. Попробуйте сделать чистую установку Debian.

BrateloSlava Guest	#4 0 27.02.2023 07:35:00 А в чём отличия от уже готового «сета» — T-Pot?

An5teifo Guest	#5 0 27.02.2023 08:35:00 SELKS — это IDS/IPS, а T-Pot — это Honeypot.

BrateloSlava

Guest

27.02.2023 11:34:00

Я до сих пор не понимаю, зачем это нужно. Как заблокировать «лишний» трафик с помощью встроенных средств, здесь хорошо объяснено — как действительно блокировать недопустимые ICMP, TCP, UDP пакеты и прочее + это. И не нужны никакие дополнительные ресурсы для Debian и Python-проектов, которые на нём работают. Если только вы не хотите любоваться красивой и бесполезной графикой. Как я уже писал выше, если нужно показать руководству красивые схемы о том, как всякие злодеи пытаются вас «взломать» — установите ВРЕМЕННО T-Pot. Покажите картинки и удалите его. В остальном — это просто пустая трата ресурсов.

rextended Guest	#7 0 27.02.2023 11:37:00 (и ещё при DDoS красивые графики — это сам DDoS…)

An5teifo

Guest

27.02.2023 11:38:00

Он не блокирует трафик на основе некорректных TCP, UDP или других протоколов — он автоматически блокирует трафик, например, от известных плохих хостов. Также он проводит глубокий анализ и останавливает любой вредоносный трафик, который вы в принципе разрешили бы на уровне фаервола — например, TCP/443 для вашего веб-сервера. Если какой-то плохой бот попытается сделать SQL-инъекцию, система это распознает и заблокирует этот хост.

BrateloSlava Guest	#9 0 27.02.2023 11:46:00 Прочитай это — Помогите! Создайте скрипт для возможной будущей DDoS-атаки.

rextended Guest	#10 0 27.02.2023 11:46:00 Плохой бот??? Плохой админ!!! Как вообще можно назвать «админом» идиота, который оставляет SQL-порт открытым для внешнего доступа???

An5teifo

Guest

#11

27.02.2023 11:54:00

Да, я понимаю, но оставлять открытым порт SQL и SQL-инъекции через HTTP — это совсем разные вещи. Если кто-то оставляет что-то открытым без конкретной причины — это плохо. Но если у вас обычный вебсервер, то порты 80 и 443 должны быть открыты для интернета, и, конечно, всегда найдутся злоумышленники, которые попытаются использовать любую уязвимость вашего вебсервера. Система IDS/IPS пытается решать такие проблемы, она уже знает типичные методы атак на вебсервер и блокирует их. Вот в чем главное отличие простого фаервола, где я просто разрешаю порты, протоколы и так далее, от IDS/IPS, которая проводит глубокий анализ пакетов и блокирует трафик на основе данных внутри сетевого пакета.

An5teifo Guest	#12 0 27.02.2023 11:47:00 Вы вообще понимаете, зачем нужен IDS/IPS, или просто решили поносить эту тему, потому что нечем заняться?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры