http://mikrotik.moscow Новое в теме Фильтры ботнета и злоумышленников форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Mon, 03 Aug 2026 07:51:06 -0400 Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
Привет, @texmeshtexas, не мог бы ты поделиться подробностями в личных сообщениях или по электронной почте?
17.11.2021 07:14:00, sikkanet.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379050 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379050 Wed, 17 Nov 2021 07:14:00 -0500 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
У меня нет ни доли участия, ни влияния на какие-либо черные списки. Я пытаюсь понять, что из этого нереально, а что реально, и применить необходимые правила по минималистичному принципу. Пока что я слышу: сканеры — это плохо, и даже если у вас нет открытых портов, они всё равно жрут ресурсы процессора.

а. Какой лучший способ справиться с этим? Сканеры, ловушки (honeypots), использовать только raw, как я предлагал? Или что-то ещё? Что на самом деле лучше — просто блокировать всё на входящей цепочке/цепочке форварда и почему?

Исходящий трафик из LAN, который пытается подделать другие приватные IP-адреса, которые не принадлежат вашей сети, — это плохо.

а. Для этого подкласса нежелательных акторов/исходящего трафика стоит использовать blackhole и IP-маршруты.

Исходящий трафик, направленный на вредоносные адреса/IP-сайты.

а. Использование черных списков может помочь?  
б. Что-то ещё?  
Есть ли способы поймать или определить плохой исходящий трафик (по паттернам, типам и так далее)?
18.11.2021 21:49:00, anav.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379049 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379049 Thu, 18 Nov 2021 21:49:00 -0500 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
Видеть, как @anav продвигает бесполезный черный список и потом пытается это оправдать, просто умора. Пожалуйста, продолжайте.
18.11.2021 21:28:00, Znevna.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379048 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379048 Thu, 18 Nov 2021 21:28:00 -0500 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
У меня вообще нет прогресса. Значит, даже если у меня закрыты все порты, роутер всё равно тратит ресурсы на ответы на порт-сканирование? Что лучше — сразу сбрасывать все такие запросы в цепочке raw с действием drop и портами назначения 1-65000 на интерфейсе из списка WAN, или просто игнорировать их? Honeypot кажется слишком сложным... Я только начинаю привыкать к идее чёрных маршрутов (blackhole IP routes), чтобы остановить подделку (spoofing) приватных IP на локальной сети. У меня нет пограничного роутера — ты предлагаешь купить ещё один CCR1009 или RB5009 только в качестве пограничного? Похоже, что MOAB всё ещё полезен для блокировки исходящего трафика к плохим адресатам?
18.11.2021 21:15:00, anav.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379047 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379047 Thu, 18 Nov 2021 21:15:00 -0500 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
Я использую honeypot для обнаружения новых «сканеров» и списки, чтобы блокировать запросы с источников из этих списков. Внутренним пользователям запрещено и подделывать собственный реальный адрес (учётная запись блокируется на неопределённый срок, пока я не разблокирую вручную), и связываться с удалёнными IP из списков (учётная запись блокируется на сутки, при отсутствии других действий, и я получаю уведомление, после чего напрямую связываюсь с пользователем). На запросы я никогда не отвечаю «запрещено», не использую tarpit или что-то подобное — просто заношу весь входящий трафик с вышестоящих каналов в чёрную дыру на границах сети. А весь исходящий трафик блокирую после логирования и отключения пользователя. Так я не трачу внутреннюю пропускную способность.
18.11.2021 17:38:00, rextended.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379046 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379046 Thu, 18 Nov 2021 17:38:00 -0500 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
Вся идея заключается в том, чтобы предотвратить пробросы… Если ни один порт не ответит, проброс не пройдет… Что многие не понимают, так это то, что ежедневно происходит сотни тысяч, если не миллионы таких пробросов… Маршрутизаторы обрабатывают эти пробросы, и это тратит пропускную способность… Предотвращение пробросов экономит трафик. Некоторые провайдеры имеют механизмы для блокировки пробросов, чтобы сэкономить на пропускной способности, но таких немного. Однако это не решает проблему исходящих вызовов к любому из 639 миллионов абонентов с плохой репутацией… MOAB предотвращает и то, и другое.
18.11.2021 17:30:00, mozerd.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379045 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379045 Thu, 18 Nov 2021 17:30:00 -0500 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
Не смотрите на проблему только с точки зрения пользователя. Провайдер не может применить правило «отбрасывать всё» в конце цепочки forward… Провайдер не может заблокировать все порты, направленные пользователю, потому что вы заблокируете почти все сервисы. (на граничном роутере NAT или отслеживание соединений не активированы, и у каждого пользователя свой публичный IP) А если пользователь по закону имеет право использовать СВОЙ роутер… дальше вы сами знаете, чем это заканчивается…
18.11.2021 17:20:00, rextended.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379044 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379044 Thu, 18 Nov 2021 17:20:00 -0500 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
В итоге, если на роутере не открыто ни одного порта, значит ли это, что угроза сканирования исчезает? Если же открыты только VPN-порты (например, случайно выбранный порт для wireguard), считается ли это риском? Я пытаюсь понять уровень угрозы и риска от таких сканирований.
18.11.2021 17:14:00, anav.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379043 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379043 Thu, 18 Nov 2021 17:14:00 -0500 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
Проборы не блокируются, и именно они представляют основную угрозу, пытаясь получить ответ с любого из 65 тысяч портов. Черные списки блокируют проборы с известных источников. Остановить проборы — значит решить 99% проблем. Оставшийся 1% — это внутренние дисциплины. MOAB — это ориентированный на угрозы подход, эффективность которого зависит от того, насколько часто и качественно обновляются черные списки и сопутствующие ответы. В случае MOAB это происходит три раза в день 7x24/365 — что, в свою очередь, зависит от объема угроз, с которыми система должна справляться. По оценкам, каждый месяц появляется 2 миллиона новых образцов вредоносного ПО, и обновление черного списка теперь требует сбора информации об угрозах с миллионов устройств и конечных точек с помощью облачных сервисов, таких как FireHol — основного источника MOAB.

Главное преимущество черных списков — в простоте их принципа: вы определяете все вредоносное, что не хотите видеть в своей системе, запрещаете этому доступ и разрешаете свободный обмен всем остальным. Именно на этом основе и работают антивирусные и антишпионские программы, основанные на сигнатурах. С точки зрения файрвола MOAB блокирует проборы с более чем 639 миллионов источников... Если пользователь пытается подключиться к любому из этих 639 миллионов, MOAB этого не позволит.

Для пользователей это традиционно низкозатратный вариант, поскольку ответственность за составление и обновление черного списка приложений или субъектов лежит на самом MOAB и его базе данных, либо на сторонних поставщиках угроз, таких как FireHol. Итак, если ваши локальные пользователи скачивают бот или вредоносное ПО (несмотря на то, что вышеперечисленные списки пытаются блокировать доступ к плохим сайтам), ЧТО ТЕПЕРЬ? Если этот бот пришел с НЕИЗВЕСТНОГО источника, то вам капец... НО если следовать хорошим практикам безопасности — этого не произойдет. Большинство ботов приходят из соблазнительных писем или с взломанных сайтов. Многие безвредные боты запускаются правительствами и легитимными организациями, которые хотят КОНТРОЛИРОВАТЬ ваши привычки... и, снова же, при правильных мерах безопасности этих ситуаций не возникнет.

Теперь, по поводу вашего вопроса с «c». Как настроить роутер, чтобы он обнаруживал/предупреждал, что ПК был скомпрометирован? Система логирования должна предоставлять информацию... Известные источники будут заблокированы, неизвестные — нет... но все зависит от надежных практик безопасности и обучения. 99% пользователей не будут следовать эффективным мерам безопасности, потому что они слишком ограничивают их свободу доступа.
18.11.2021 16:18:00, mozerd.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379042 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379042 Thu, 18 Nov 2021 16:18:00 -0500 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
Привет, Mozerd! Тогда мой вопрос нужно сформулировать по-другому. Поскольку большинство файрволов, 99% в MT, блокируют трафик с WAN на LAN и с WAN на роутер, в чем вообще смысл всех этих списков? Единственные угрозы, которые я вижу:

а. Пользователи LAN посещают плохие сайты, будь то торренты и т. п. (возможно, списки нужны, чтобы гарантированно блокировать доступ к известным опасным ресурсам).

б. Пользователи LAN скачивают бота или какой-то вредоносный софт (хотя вышеупомянутые списки пытаются не допустить заход на плохие сайты).

И что дальше???

в. Как настроить роутер, чтобы он мог обнаруживать/предупреждать и т. п., если ПК был скомпрометирован? (предполагая, что антивирус на ПК не справился).

i. Возможно, списки всё же полезны, если вредоносное ПО пытается связаться с опасными сайтами (то есть списки снова могут пригодиться).

ii. Можно ли выявлять и блокировать по характеру или типу подозрительного исходящего трафика?
18.11.2021 14:37:00, anav.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379041 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379041 Thu, 18 Nov 2021 14:37:00 -0500 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
@anav MOAB в основном фиксирует IP-адреса, которые действительно связаны с онлайн-атаками, злоупотреблением онлайн-сервисами, вредоносным ПО, ботнетами, серверами управления и другими киберпреступными действиями; на данный момент их насчитывается 639 миллионов… и он крайне эффективно и результативно предотвращает злонамеренные внешние атаки… Самая большая проблема в том, что многие просто не знают или не понимают, как правильно настроить свой файрвол… MOAB не защищает от внутренних действий, вызванных нерадивым соблюдением правил безопасности.
18.11.2021 00:25:00, mozerd.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379040 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379040 Thu, 18 Nov 2021 00:25:00 -0500 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
В общем, всё это почти бесполезно. Откажитесь от всего остального как для входящих, так и для исходящих цепочек. В основном, дело сделано! Можно подумать о том, чтобы направлять непубличные подсети, которые не в вашем маршрутизаторе, в черную дыру. Идея черных списков, насколько я понимаю, — не дать вашим ничего не подозревающим пользователям, у которых есть доступ в интернет, обращаться к плохим приватным IP… А вообще, блокируют ли черные списки https на плохие сайты? Если да, или даже если нет, тогда используйте этот недорогой, но эффективный сервис и живите спокойно, не парясь по пустякам, которые не контролируете. https://itexpertoncall.com/promotional/moab.html
17.11.2021 15:14:00, anav.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379039 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379039 Wed, 17 Nov 2021 15:14:00 -0500 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
Вот что я делаю: http://forum.mikrotik.com/t/configuration-to-block-users-that-tries-to-access-router-on-non-open-port-s/151840/1 Вкратце: любой, кто пытается получить доступ к моим роутерам через порты, которые не открыты, блокируется на 24 часа на все порты, включая 443 и другие. В итоге у меня получается список доступа с примерно 5–10 тысячами IP-адресов, которые заблокированы постоянно.
17.11.2021 07:41:00, Jotne.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379038 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379038 Wed, 17 Nov 2021 07:41:00 -0500 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
Извините, я не могу перевести изображение. Пожалуйста, предоставьте текст.
30.05.2021 23:55:00, PortalNET.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379037 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379037 Sun, 30 May 2021 23:55:00 -0400 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
Привет, @rextended! Существует ли правило в /ip firewall/raw, чтобы заблокировать сканеры портов? Я хочу заблокировать сканирование портов на нашем ASN ipv4 /22 блоке. В нашей системе мониторинга угроз мы видим сотни тысяч попыток сканирования портов каждый день, и они идут с разных IP-адресов и портов, на наш ipv4 /22 и разные порты.

Мой вопрос: есть ли способ заблокировать эту активность сканирования портов через Firewall/raw? Я пробовал фильтры firewall с действием drop, но у нас в NAT есть правило firewall, которое пропускает весь входящий трафик без блокировки портов на ASN IPV4/22 блоке, поэтому фильтры firewall NAT не работают.

Зато мы протестировали, что через RAW можно заблокировать подозрительные порты для всего ASN ipv4 и внутренних NAT частных IP, как показано на скрине ниже. Пытаются сканировать наши IP снаружи.  
https://pasteboard.co/K4mhc8b.png
30.05.2021 23:46:00, PortalNET.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379036 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379036 Sun, 30 May 2021 23:46:00 -0400 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
Кто же здесь идиот, что платит? Ценообразование основано на размере сети, начиная от $2,500 в год. https://www.spamhaus.com/product/border-gateway-protocol/ Для одного правила в «/firewall raw» (блокировать весь prerouting, когда источник в объединённом списке drop-edrop-c&c) https://www.spamhaus.org/drop/drop.txt https://www.spamhaus.org/drop/edrop.txt И одно правило для ipv6 firewall https://www.spamhaus.org/drop/dropv6.txt или какой-то фильтр drop в BGP? https://www.spamhaus.org/drop/asndrop.txt
19.05.2021 00:41:00, rextended.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379035 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379035 Wed, 19 May 2021 00:41:00 -0400 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
Привет! Быстрый вопрос: у вас есть собственный ASN? Как вы фильтруете и блокируете атаки от ботнета? Это делается напрямую на BGP? Поскольку публичные IP-адреса ASN, назначенные вашим клиентам, вообще не должны иметь блокировок портов на BGP-устройстве, верно? Не мог бы ты, пожалуйста, пояснить, как это реализовано? Просто отфильтровывается весь трафик с IP из этого BGP-списка?
19.05.2021 00:15:00, PortalNET.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379034 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379034 Wed, 19 May 2021 00:15:00 -0400 RouterOS Фильтры ботнета и злоумышленников RouterOS в форуме RouterOS.
Просто решил поделиться этим с сообществом Mikrotik. Я всегда выступал за то, чтобы держать мусорный трафик вне нашей сети, чтобы экономить наши очень дорогие инфраструктурные ресурсы. Помимо обычных мер, таких как блокировка Bogon IP и определённых TCP/UDP портов, мы недавно внедрили фильтрацию трафика с помощью внешнего списка. Около 2,5 месяцев назад мы начали фильтровать трафик на границе сети, чтобы защитить нашу сеть и клиентов от бесконечных попыток киберпреступников атаковать простых пользователей. А также, чтобы не дать уже зараженным вредоносом устройствам общаться с ботнет-CC и вообще с плохими ребятами. Мы взяли BGP-фиды Spamhouse (www.spamhaus.org/bgpf) и заблокировали весь трафик с трёх их списков. Жалоб от клиентов нет, так что списки, судя по всему, довольно чистые. Результаты за 2,5 месяца на нашей подсети с 3300+ абонентами: 294 тысячи заблокированных исходящих соединений и 84 миллиона заблокированных входящих. Это примерно 47 тысяч блокировок плохого трафика в час. Буду рад поделиться деталями внедрения с любым другим WISP, который не является нашим конкурентом. Мы используем маршрутизаторы Mikrotik на краю сети, так что наши скрипты будут специфичны для RouterOS. Также могу дать контакт нашего представителя из SecurityZones.net, с которым мы сотрудничаем для настройки BGP от Spamhaus.
16.04.2021 15:16:00, texmeshtexas.]]> http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379033 http://mikrotik.moscow/forum/forum57/83685-filtry-botneta-i-zloumyshlennikov/message379033 Fri, 16 Apr 2021 15:16:00 -0400 RouterOS