Forum

Tentiva de invasão via SSH ao Mikrotik

Postado por Keps Batista Moreira em 6 de Janeiro de 2010 às 10:34pm
Olá pessoal, estava analisando o log do meu MK e vi que alguem tinha tentado invadir via ssh. Em anexo tem uma imagem do log. Mais alguem passou por isso? Alguem que queira comentar sobre fique avontade.

Log acesso ssh indevido.JPG

Para adicionar comentários, você deve ser membro de MK-AUTH.

Join MK-AUTH

Marcações: mikrotik, ssh
Enviar-me um email quando as pessoas responderem –
Seguir

Respostas

  • Pedro Filho 6 de Janeiro de 2010 as 10:51pm
    já passei milhares de vezes, por isso é bom vc criar tb em seu firewall uma regra para permitir somente conexão ssh para ip's que vc cadastrar ou uma que bloqueia um ip que tenha acesso negado varias vezes em seguidas.
  • PROVELINK 6 de Janeiro de 2010 as 10:54pm
    isso não é novidade ! sempre tem pelo jeito é brutal force não é uma pessoa,
    ip internacional.
    coloca isso que ele faz uma lista negra e joga o ip na lista,
    se vc não usa ssh desabilita em ip>services
    ou troca a porta padrão
    /ip firewall filter
    add action=passthrough chain=unused-hs-chain comment=\
    "place hotspot rules here" disabled=yes
    add action=drop chain=input comment="DROP SSH BRUTE FORCERS ( BLACK LIST )" \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_blacklist
    add action=add-src-to-address-list address-list=ssh_blacklist \
    address-list-timeout=4w2d chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_stage3
    add action=add-src-to-address-list address-list=ssh_stage3 \
    address-list-timeout=1m chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_stage2
    add action=add-src-to-address-list address-list=ssh_stage2 \
    address-list-timeout=1m chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_stage1
    add action=add-src-to-address-list address-list=ssh_stage1 \
    address-list-timeout=1m chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp
    add action=drop chain=input comment="BLOQUEIO SSH - PORT 22-23" disabled=no \
    dst-port=22-23 protocol=tcp
  • Keps Batista Moreira 6 de Janeiro de 2010 as 10:54pm
    Ok Pedro, valew ae.

    Pedro Filho disse:
    já passei milhares de vezes, por isso é bom vc criar tb em seu firewall uma regra para permitir somente conexão ssh para ip's que vc cadastrar ou uma que bloqueia um ip que tenha acesso negado varias vezes em seguidas.
  • Rafael de Souza 10 de Fevereiro de 2010 as 7:03pm
    É o seguinte eu coloquei essa regra para bloquear a porta ssh 22 23, porém esta bloqueando o mk-auth pois ele se comunica com mikrotik atraves dessa, então pensei será que tem um jeito de deixar passar o trafego apenas do ip do mk-auth, ou do mk-auth ???

    PROVELINK disse:
    isso não é novidade ! sempre tem pelo jeito é brutal force não é uma pessoa,
    ip internacional.
    coloca isso que ele faz uma lista negra e joga o ip na lista,
    se vc não usa ssh desabilita em ip>services
    ou troca a porta padrão
    /ip firewall filter
    add action=passthrough chain=unused-hs-chain comment=\
    "place hotspot rules here" disabled=yes
    add action=drop chain=input comment="DROP SSH BRUTE FORCERS ( BLACK LIST )" \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_blacklist
    add action=add-src-to-address-list address-list=ssh_blacklist \
    address-list-timeout=4w2d chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_stage3
    add action=add-src-to-address-list address-list=ssh_stage3 \
    address-list-timeout=1m chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_stage2
    add action=add-src-to-address-list address-list=ssh_stage2 \
    address-list-timeout=1m chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_stage1
    add action=add-src-to-address-list address-list=ssh_stage1 \
    address-list-timeout=1m chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp
    add action=drop chain=input comment="BLOQUEIO SSH - PORT 22-23" disabled=no \
    dst-port=22-23 protocol=tcp
  • linuxerbel 10 de Fevereiro de 2010 as 8:12pm
    Amigos,

    essas regras nao vao bloquear o acesso via ssh do mk-auth?

    até mais

    PROVELINK disse:
    isso não é novidade ! sempre tem pelo jeito é brutal force não é uma pessoa,
    ip internacional.
    coloca isso que ele faz uma lista negra e joga o ip na lista,
    se vc não usa ssh desabilita em ip>services
    ou troca a porta padrão
    /ip firewall filter
    add action=passthrough chain=unused-hs-chain comment=\
    "place hotspot rules here" disabled=yes
    add action=drop chain=input comment="DROP SSH BRUTE FORCERS ( BLACK LIST )" \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_blacklist
    add action=add-src-to-address-list address-list=ssh_blacklist \
    address-list-timeout=4w2d chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_stage3
    add action=add-src-to-address-list address-list=ssh_stage3 \
    address-list-timeout=1m chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_stage2
    add action=add-src-to-address-list address-list=ssh_stage2 \
    address-list-timeout=1m chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_stage1
    add action=add-src-to-address-list address-list=ssh_stage1 \
    address-list-timeout=1m chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp
    add action=drop chain=input comment="BLOQUEIO SSH - PORT 22-23" disabled=no \
    dst-port=22-23 protocol=tcp
  • PROVELINK 11 de Fevereiro de 2010 as 12:18am
    elas vão colocar os ips que estão errando a senha em umas lista negra .

    linuxerbel disse:
    Amigos,

    essas regras nao vao bloquear o acesso via ssh do mk-auth?

    até mais

    PROVELINK disse:
    isso não é novidade ! sempre tem pelo jeito é brutal force não é uma pessoa,
    ip internacional.
    coloca isso que ele faz uma lista negra e joga o ip na lista,
    se vc não usa ssh desabilita em ip>services
    ou troca a porta padrão
    /ip firewall filter
    add action=passthrough chain=unused-hs-chain comment=\
    "place hotspot rules here" disabled=yes
    add action=drop chain=input comment="DROP SSH BRUTE FORCERS ( BLACK LIST )" \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_blacklist
    add action=add-src-to-address-list address-list=ssh_blacklist \
    address-list-timeout=4w2d chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_stage3
    add action=add-src-to-address-list address-list=ssh_stage3 \
    address-list-timeout=1m chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_stage2
    add action=add-src-to-address-list address-list=ssh_stage2 \
    address-list-timeout=1m chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp src-address-list=ssh_stage1
    add action=add-src-to-address-list address-list=ssh_stage1 \
    address-list-timeout=1m chain=input comment="" connection-state=new \
    disabled=no dst-port=22 protocol=tcp
    add action=drop chain=input comment="BLOQUEIO SSH - PORT 22-23" disabled=no \
    dst-port=22-23 protocol=tcp
  • Ronny 16 de Junho de 2011 as 10:14pm
    Ai boa regra cara, tava sofrendo com isso tbm agora que reforcei meu firewalls com essas regras ai quero ver agora ter problema de novo.. Vlw peixe
  • SAGAT 17 de Junho de 2011 as 12:32am
    Você usa modem roteado ou balanceador ?
  • Vip Net do Brasil - Fábio 17 de Junho de 2011 as 4:08pm
    Eu uso aqui um maneira mais facil, vou em ip/service list e especifico os ips que podem se logar no mikrotik por ssh, no usuario do mkauth eu tambem determino que so o ip do mkauth pode se logar por aquele usuario, pronto fica tudo tranquilo...
  • Flavio 15 de Agosto de 2012 as 10:30pm

    opa vejam o log do meu mikrotik hoje e o ip é internacional. 

    Alguma ideia?

    Será que se eu colocar as regras postadas aqui vai dar algum problema na rede?

    20:51:43 system,error,critical login failure for user root from 183.82.99.66 via ssh  
    20:51:47 system,error,critical login failure for user root from 183.82.99.66 via ssh  
    20:51:51 system,error,critical login failure for user root from 183.82.99.66 via ssh
This reply was deleted.