Как заблокировать SSH-атакующих после 3 неудачных попыток входа?

Я написал этот скрипт. Тебе нужно добавить планировщик, который каждые 5–10 минут проверяет, если с одного IP было больше 5 неудачных попыток входа — этот IP автоматически добавляется в список блокировки. Если хочешь ограничиться только 3 попытками, просто измени строку ":local attempt 5" на ":local attempt 3".  

# Проверяем, есть ли действие логирования, если нет — создаём  
:if ([:len [/system logging action find name=login]]=0) do={
/system logging action add name=login target=memory  
}  

# Проверяем, есть ли правило логирования, если нет — создаём  
:if ([:len [/system logging find action=login]]=0) do={
/system logging add topics=system,error,critical action=login  
}  

# Количество попыток входа  
:local attempt 5  

:if ([:len [/log find where buffer=login message~"login failure" and message~"from"]]>0) do={
# Получаем IP из лога  
:local getIP do={  
:if ([:type [:find $string "from"]]!="nil") do={
:local cut [:pick $string ([:find $string "from"]+[:len "from"]+1) [:len $string]]
:if ([:len [:find $cut " "]]>0) do={
:return [:pick $cut 0 [:find $cut " "]]
} else={  
:return [:pick $cut 0 [:len $cut]]
}  
} else={  
:if ([:len $default]>0) do={
:return $default  
} else={  
:return ""  
}  
}  
}  

# Читаем значение ключа из строки  
:local getKeyValue do={  
:if ([:type [:find $string $name]]!="nil") do={
:local cut [:pick $string ([:find $string $name]+[:len $name]+1) [:len $string]]
:if ([:len [:find $cut ";"]]>0) do={
:return [:pick $cut 0 [:find $cut ";"]]
} else={  
:return [:pick $cut 0 [:len $cut]]
}  
} else={  
:if ([:len $default]>0) do={
:return $default  
} else={  
:return ""  
}  
}  
}  

# Устанавливаем ключ и значение в строку  
:local setKeyValue do={  
:if ([:typeof [:find $string $name]]!="nil") do={
:local current  
:local cut [:pick $string ([:find $string $name]) [:len $string]]
:if ([:len [:find $cut ";"]]>0) do={
:set current [:pick $cut 0 [:find $cut ";"]]
} else={  
:set current [:pick $cut 0 [:len $cut]]
}  
:return ([:pick $string 0 [:find $string $current]]."$name=$value".[:pick $string ([:find $string $current]+[:len $current]) [:len $string]])
} else={  
:if (([:len $value]>0) and ([:len $name]>0)) do={
:if (([:len $string]=0) or ([:pick $string ([:len $string]-1) [:len $string]]=";")) do={
:return ($string."$name=$value;")  
} else={  
:return ($string.";$name=$value;")  
}  
} else={  
:return ($string)  
}  
}  
}  

# Удаляем ключ и значение из строки  
:local delKeyValue do={  
:if ([:typeof [:find $string $name]]!="nil") do={
:local current  
:local cut [:pick $string ([:find $string $name]) [:len $string]]
:if ([:len [:find $cut ";"]]>0) do={
:set current [:pick $cut 0 [:find $cut ";"]]
} else={  
:set current [:pick $cut 0 [:len $cut]]
}  
:return ([:pick $string 0 [:find $string $current]].[:pick $string ([:find $string $current]+[:len $current]+1) [:len $string]])
} else={  
:return ($string)  
}  
}  

# Проверяем лог на "неудачные входы"  
:local retry  
:global loginFailures  
:foreach index in=[/log find where buffer=login message~"login failure" and message~"from"] do={
:set retry [:tonum [$getKeyValue string=$loginFailures name=[$getIP string=[/log get $index message]]]]
:if (($retry+1)>=$attempt) do={  
/ip firewall address-list add address=[$getIP string=[/log get $index message]] list=login_failure comment=([/log get $index message].", добавлен ".$[/system clock get date]." ".$[/system clock get time]) timeout=1d
:set loginFailures [$delKeyValue string=$loginFailures name=[$getIP string=[/log get $index message]]]
} else={  
:if ([:len [/ip firewall address-list find where address=[$getIP string=[/log get $index message]] and list=login_failure]]=0) do={
:set loginFailures [$setKeyValue string=$loginFailures name=[$getIP string=[/log get $index message]] value=($retry+1)]
}  
}  
}  

# Очищаем лог  
/system logging disable [find action=login]
/system logging enable [find action=login]
:if ([:len $loginFailures]=0) do={
/system script environment remove loginFailures  
}  
:if ([:len [/ip firewall filter find comment="block address that reach maximum login attempts"]]=0) do={
/ip firewall filter add chain=input src-address-list=login_failure action=drop comment="block address that reach maximum login attempts"  
}  
}

Я не понимаю, сегодня я быстро написал скрипт, потому что это первый раз, когда я вижу, что кто-то пытается подключиться к моему Mikrotik API примерно 999 раз... Если у вас есть порт, который вы используете для такого Mikrotik API, как вы блокируете адреса, которые пытаются взломать ваш роутер?

Я пытаюсь понять, как решают, кто здесь плохой гей, а кто — легальная связь...

TERM  
Мне не нужно получать доступ к моему Mikrotik из внешней сети (через VPN). (1) Но я хочу видеть в некоторых списках, что кто-то пытался получить доступ к моему Mikrotik снаружи. Есть ли способ это сделать? (2)  
karlisi: спасибо, но я не хочу загромождать файрволл кучей списков. Всё, чего я хочу — блокировать пользователя после 3 неудачных попыток входа и добавлять его в список на 10 дней.

+++++++++++++++++++++++++++++++  

(1) Да, вы можете логировать все попытки с WAN следующим образом:  
Input chain, последние два правила:  
add chain=input in-interface-list=WAN action=log prefix=“Show ALL INPUT Traffic From WAN Being Dropped”  
add chain=input action=drop  

Forward chain, последние два правила:  
add chain=forward in-interface-list=WAN action=log prefix=“Show ALL FORWARD Traffic FROM WAN Being Dropped”  
add chain=forward action=drop  

(2) Поскольку внешний доступ к роутеру вам не нужен, вы можете добавить все адреса, попадающие под эти два правила, и блокировать их через RAW. Логи тогда не будут засоряться — вы сможете смотреть списки в таблицах ip firewall address list…  

Последние правила:  
Input chain  
add chain=input in-interface-list=WAN action=add to address list address-list=badguys timeout=6h  
add chain=input action=drop (последнее правило)  

Forward chain  
add chain=forward in-interface-list=WAN action=add to address list address-list=badguys timeout=6h  
add chain=forward action=drop  

RAW  
/ip raw  
add chain=prerouting source-address-list=badguys action=drop  

Что касается быстрых попыток, то первая попытка фиксируется, дальше они просто игнорируются. Если вы хотите ОСТАНОВИТЬ именно быстрые подряд идущие попытки, то нужна отдельная, специальная правило, а не универсальное… Я просто не знаю, как его настроить.  

Пример:  
add input rule catch rapid attempts from wan list=rapidhackers drop all  
add forward rule catch rapid attempts from wan list=rapidhackers drop all  
raw - prerouting drop all ‘rapidhackers’  

Параметры для такого правила, вероятно, должны быть либо connection limit, либо psd (partial sequence detection). Возможно, какие-то эксперты смогут понятно объяснить, как использовать либо один из этих параметров, либо оба, чтобы отловить:  
a. флуда  
b. сканирования  
c. попытки взлома (предполагая username/password).

Всем привет. У меня на MikroTik Router есть такие правила, и они работают. Но можно ли сделать что-то подобное для RDP? Я пытался применить эти правила к RDP, но, похоже, не выходит. У меня есть обычный блок SSH-брутфорсеров, основанный на списках адресов ssh_stage1 - 3, а потом они попадают в ssh_blacklist. Но если я хочу применить это к RDP и делать это по времени, а не по стадиям, как сделать правило, которое будет работать для RDP? И да, я не использую стандартный порт RDP 3389. Например, если бы я основывался на стадиях, то после трёх попыток IP попал бы в черный список. Но у меня есть ситуация: если вдруг отключают от RDP-сервера и пытаешься переподключиться, мой IP попадает в черный список. Я бы хотел, чтобы правило отслеживало не стадии, а именно неудачные попытки входа — обычно это когда хакер пытается подключиться, перебирая логин и пароль, его отключают, он снова пробует и так много раз подряд. Было бы здорово, если бы правило могло засечь 5 неудачных попыток входа и после этого заносить в черный список. Это вообще возможно?