http://mikrotik.moscow Новое в теме IPS/IDS с SELK форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sun, 02 Aug 2026 12:35:43 -0400 IPS/IDS с SELK RouterOS в форуме RouterOS.
Вы вообще понимаете, зачем нужен IDS/IPS, или просто решили поносить эту тему, потому что нечем заняться?
27.02.2023 11:47:00, An5teifo.]]> http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389309 http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389309 Mon, 27 Feb 2023 11:47:00 -0500 RouterOS IPS/IDS с SELK RouterOS в форуме RouterOS.
Да, я понимаю, но оставлять открытым порт SQL и SQL-инъекции через HTTP — это совсем разные вещи. Если кто-то оставляет что-то открытым без конкретной причины — это плохо. Но если у вас обычный вебсервер, то порты 80 и 443 должны быть открыты для интернета, и, конечно, всегда найдутся злоумышленники, которые попытаются использовать любую уязвимость вашего вебсервера. Система IDS/IPS пытается решать такие проблемы, она уже знает типичные методы атак на вебсервер и блокирует их. Вот в чем главное отличие простого фаервола, где я просто разрешаю порты, протоколы и так далее, от IDS/IPS, которая проводит глубокий анализ пакетов и блокирует трафик на основе данных внутри сетевого пакета.
27.02.2023 11:54:00, An5teifo.]]> http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389308 http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389308 Mon, 27 Feb 2023 11:54:00 -0500 RouterOS IPS/IDS с SELK RouterOS в форуме RouterOS.
Плохой бот??? Плохой админ!!! Как вообще можно назвать «админом» идиота, который оставляет SQL-порт открытым для внешнего доступа???
27.02.2023 11:46:00, rextended.]]> http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389307 http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389307 Mon, 27 Feb 2023 11:46:00 -0500 RouterOS IPS/IDS с SELK RouterOS в форуме RouterOS.
Прочитай это — Помогите! Создайте скрипт для возможной будущей DDoS-атаки.
27.02.2023 11:46:00, BrateloSlava.]]> http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389306 http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389306 Mon, 27 Feb 2023 11:46:00 -0500 RouterOS IPS/IDS с SELK RouterOS в форуме RouterOS.
Он не блокирует трафик на основе некорректных TCP, UDP или других протоколов — он автоматически блокирует трафик, например, от известных плохих хостов. Также он проводит глубокий анализ и останавливает любой вредоносный трафик, который вы в принципе разрешили бы на уровне фаервола — например, TCP/443 для вашего веб-сервера. Если какой-то плохой бот попытается сделать SQL-инъекцию, система это распознает и заблокирует этот хост.
27.02.2023 11:38:00, An5teifo.]]> http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389305 http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389305 Mon, 27 Feb 2023 11:38:00 -0500 RouterOS IPS/IDS с SELK RouterOS в форуме RouterOS.
(и ещё при DDoS красивые графики — это сам DDoS…)
27.02.2023 11:37:00, rextended.]]> http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389304 http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389304 Mon, 27 Feb 2023 11:37:00 -0500 RouterOS IPS/IDS с SELK RouterOS в форуме RouterOS.
Я до сих пор не понимаю, зачем это нужно. Как заблокировать «лишний» трафик с помощью встроенных средств, здесь хорошо объяснено — как действительно блокировать недопустимые ICMP, TCP, UDP пакеты и прочее + это. И не нужны никакие дополнительные ресурсы для Debian и Python-проектов, которые на нём работают. Если только вы не хотите любоваться красивой и бесполезной графикой. Как я уже писал выше, если нужно показать руководству красивые схемы о том, как всякие злодеи пытаются вас «взломать» — установите ВРЕМЕННО T-Pot. Покажите картинки и удалите его. В остальном — это просто пустая трата ресурсов.
27.02.2023 11:34:00, BrateloSlava.]]> http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389303 http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389303 Mon, 27 Feb 2023 11:34:00 -0500 RouterOS IPS/IDS с SELK RouterOS в форуме RouterOS.
SELKS — это IDS/IPS, а T-Pot — это Honeypot.
27.02.2023 08:35:00, An5teifo.]]> http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389302 http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389302 Mon, 27 Feb 2023 08:35:00 -0500 RouterOS IPS/IDS с SELK RouterOS в форуме RouterOS.
А в чём отличия от уже готового «сета» — T-Pot?
27.02.2023 07:35:00, BrateloSlava.]]> http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389301 http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389301 Mon, 27 Feb 2023 07:35:00 -0500 RouterOS IPS/IDS с SELK RouterOS в форуме RouterOS.
Это протестировано только на Debian 11, но должно работать и на Ubuntu. Попробуйте сделать чистую установку Debian.
26.02.2023 18:03:00, fewdenis.]]> http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389300 http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389300 Sun, 26 Feb 2023 18:03:00 -0500 RouterOS IPS/IDS с SELK RouterOS в форуме RouterOS.
А что насчёт примера глупого администратора, который оставляет двери открытыми просто так??? Да что это за управление вообще??? Неважно, какие устройства подключены и как они настроены, если сеть потом так вот управляют…
27.02.2023 11:50:00, rextended.]]> http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389299 http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389299 Mon, 27 Feb 2023 11:50:00 -0500 RouterOS IPS/IDS с SELK RouterOS в форуме RouterOS.
Дорогие форумчане, недавно я полностью перешёл с OPNsense на Mikrotik и немного переживал, ведь у Mikrotik нет встроенного IDS/IPS. К счастью, в интернете нашлись решения, которые я реализовал, и хочу поделиться с вами парой советов и хитростей.

Я нашёл проект на GitHub под названием mikrocata2selks (https://github.com/angolo40/mikrocata2selks), который использует Packet Sniffer от Mikrotik + Suricata + удобный интерфейс Kibana. Клонируйте репозиторий на ваше устройство (выделенный ПК, виртуалку, сервер и т.п.) — желательно иметь не менее 10 ГБ ОЗУ и 4 ядра, так как нужно проверять каждый полученный пакет. Лично я не советую просто запускать скрипт easyinstall, лучше выполнить все шаги вручную.

В общем, что делает проект:
- Создаёт выделённый фиктивный интерфейс, на котором Suricata будет слушать;
- Устанавливает «конвертер» для потока трафика Mikrotik в формат, читаемый Suricata;
- Ставит SELKS (https://github.com/StamusNetworks/SELKS);
- Использует API Mikrotik, чтобы добавлять плохие IP в специальный список, который потом нужно добавить в меню файервола.

На роутере Mikrotik я настроил фильтр Packet Sniffer, чтобы он пересылал только tcp и udp пакеты — иначе он отправлял бы и другие пакеты, которые Suricata не понимает.

Если у вас есть вопросы или более удачные варианты, не стесняйтесь, пишите в комментариях.
08.02.2023 14:07:00, An5teifo.]]> http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389298 http://mikrotik.moscow/forum/forum57/84709-ips_ids-s-selk/message389298 Wed, 08 Feb 2023 14:07:00 -0500 RouterOS