Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Защита rdp (3389) порта

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4

Открыть новую тему     Написать ответ в эту тему

Diabolik



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Омг! А че кросс порта на роутере уже недостаточно? Если конечно на серваке есть авторизация с таймаутом на час (ну у меня так), при ошибочном вводе (3 попытки). Можно еще дефолтный порт сменить (тогда в клиентcком RDP-файле придется указать принудительно). Ну или воспользоваться сервисом дополнительной авторизации (как по мне сторонний сервис авторизации еще то решение).
 
Кросс-порт конкретно в RouteOS (Mikrotik) настраивается правилом в разделе WebFig -> IP -> Firewall -> NAT. Создаешь новое правило, меняешь только следующие строчки (остальное по дефолту):
Код:
Chain - dstnat
Protocol - 6 (tcp)
Dst. Port - указываешь желаемый внешний порт, например 9876
In.Interface - ether1 (если кабель интернета воткнут в первый разъем)
Action - netmap
To Adresses - указываешь внутренний IP сервака, например 192.168.1.10
To Potrts - 3389 (если дефолтный не менял)

Всего записей: 4819 | Зарегистр. 02-10-2004 | Отправлено: 20:19 25-07-2018 | Исправлено: Diabolik, 20:32 25-07-2018
Paromshick



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Diabolik
Что это за авторизация с таймаутом на час?
Если временная блокировка учётной записи, то это не то.
Нестандартный порт нащупывают рано или поздно, пытаются подбирать. Тот же MikroTik реагирует на сканирование? Даже если реагирует, то у меня их сотни в день, это не диво и приедается.
Но вот брутфорс RDP гораздо реже. Интересно бывает, к примеру, знать, какую учётку присылают.
Так что полезно знать о попытках подбора, а не только пассивную защиту строить, что правильно, конечно, но контрразведку никто не отменял

----------
Скучно

Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 21:50 25-07-2018
Mavrikii

Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Так что полезно знать о попытках подбора

а я микротик настроил на защиту брута RDP.
считает новые соединения и если больше за какой то промежуток - блокирует IP.

Всего записей: 15118 | Зарегистр. 20-09-2014 | Отправлено: 22:21 25-07-2018
Diabolik



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Paromshick
То есть, чтобы начать брутфорс, надо знать: IP, порт (и какая именно служба на нем сидит), логин пользователя сервака и пароль? Этого недостаточно (тем более что после каждых 3-ех попыток будет час блокировки)?

Всего записей: 4819 | Зарегистр. 02-10-2004 | Отправлено: 08:56 26-07-2018 | Исправлено: Diabolik, 08:58 26-07-2018
Paromshick



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Diabolik
Вы хотите обсудить логику хакеров? В Андеграунде, можно было бы.
Я говорю о фактах. Нащупывают не стандартный, а-ля 56783 порт и далее весьма аккуратно щупают уже RDP. Я же вижу в логах, что, откуда и как пытаются представиться
Цитата:
после каждых 3-ех попыток будет час блокировки
Реальой учётной записи, ага? И хакеру придёт уже другой ответ - ваша запись заблокирована. Значит, что? Правильно - логин успешно подобран.
Если не смотреть логи годами месяцами...
Давайте не здесь.  
 
Добавлено:
Mavrikii

Цитата:
считает новые соединения и если больше за какой то промежуток - блокирует IP.
Вот, здесь же, всё-таки, не ярмарка тщеславия, поймите правильно...
Цитата:
а я микротик настроил  
Можно и консольные команды в эфир выдать - будет в тему
 
 
Добавлено:
Не сочтите за рекламу
http://purerds.org/remote-desktop-free-tools/remote-desktop-services-logon-failure-correlation-tool/
Сам еще не юзал, у меня всё пока норм, но... если есть теоретическая возможность, то надо держать руку на пульсе. Мы же настраиваем мониторинги всякие... Если б это еще как-то встраивалось

----------
Скучно

Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 09:05 26-07-2018
Mavrikii

Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Paromshick

Цитата:
не ярмарка тщеславия, поймите правильно

конечно нет, просто вдруг это не будет никому интересно.
подсчет в микротике не очень удобный, ну и первое авторизированное RD соединение создает два новых подключения, поэтому нужно быть осторожным.

Цитата:
консольные команды в эфир выдать


Код:
add action=drop chain=forward connection-state=new log-prefix=brute- src-address-list=bruteforcer
add action=jump chain=forward comment="Prevent bruteforce" connection-state=new dst-port=3389 in-interface=WAN jump-target=check-bruteforce protocol=tcp
add action=add-src-to-address-list address-list=bruteforcer address-list-timeout=1w chain=check-bruteforce src-address-list=bruteforce-3
add action=add-src-to-address-list address-list=bruteforce-3 address-list-timeout=30s chain=check-bruteforce src-address-list=bruteforce-2
add action=add-src-to-address-list address-list=bruteforce-2 address-list-timeout=30s chain=check-bruteforce src-address-list=bruteforce-1
add action=add-src-to-address-list address-list=bruteforce-1 address-list-timeout=30s chain=check-bruteforce src-address-list=bruteforce-0
add action=add-src-to-address-list address-list=bruteforce-0 address-list-timeout=30s chain=check-bruteforce

количество листов создается по желанию, но не меньше 2 (иначе сразу в блок). ну и правило для udp тоже, если нужно, но с ним может быть проблема "нового" подключения (ибо таким считается только первый пакет).

Всего записей: 15118 | Зарегистр. 20-09-2014 | Отправлено: 09:20 26-07-2018 | Исправлено: Mavrikii, 09:40 26-07-2018
IoanSz

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Поллностью поддерживаю, именно таким образом на микротике и блокирую всех желающих перебирать пароли к RDP, только шагов 5, после 3 время пребывания в списке увеличиваю, 3 - 10 мин, 4 - 30 мин, и в бан 5 список отправляет уже на 3 часа. Таким образом в баню идут однозначно упоротые на подбор пароля
 
Добавлено:
Капец, кончно, оживили тему 6 летней давности, однако правила были мной описаны еще 19-07-2012 в этой же ветке.

Всего записей: 26 | Зарегистр. 18-07-2012 | Отправлено: 10:22 26-07-2018
Paromshick



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Mavrikii
Не гурю в MikroTik'ах. Листинг занёс в базу знаний, спасибо.
Насколько я понимаю, девайс смотрит на подключение с уникального IP и позволяет новое подключение не ранее, чем через 30 сек? Так три раза, а затем в баню на 1w… неделя, правильно?
Если сервер барахлит и дропает подключения, такое бывает, то легитимный клиент, нетерпеливо тыркающий кнопку, он что получит? В баню?
 
Добавлено:
И второе, но для меня первое.
Если Злой пробует пароли аккуратно, один раз в 5 минут, то, надеяться на какой-либо фаервольный финт всё-таки не приходится. Для обсуждения

----------
Скучно

Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 12:49 26-07-2018
IoanSz

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Не совсем. На 30 сек заносится IP с котрого происходит подключение в список 1, если за эти 30 сек от этого же IP происходит второе новое подключение. то этот IP адрес заносится в список 2, если в течении 30 сек происходит новое подключение. с этого же IP адреса, то он заносится в 3 список, если в течении 30 сек не происходит нового подключения то список 3, 2 и 1 очищаются. Сервер дропает подключение при вводе неврного пароля при авторизации 5 раз, если не включена авторизация на уровне сети.
 
Добавлено:
Если он будет пробовать 1 пароль в 5 минут то он будет перебирать пароль до "морковкиной заговеди" и бояться этого слоупока не имеет смысла
 
Добавлено:
Простой расчет. При переборе пароля 1 пароль в 5 минут получается что за сутки он булет проверять 288 паролей.
При установке параметров требования сложности к паролю например в минимальную длинну 8 символов и "отвечать требованиям сложности", что просто необходимо делать всегда, получается что минимально пароль будет состоять из 8 символов, в которых содержится цифра, букы маленькие и большие, возможно что и спец символы. Итого 8 символьный пароль имеет p=128^8=72057594037927936 комбинаций. итого, данному медленному злодею понадобится для подбора пароля потребуется 68 360 650 081 лет.
За это время как говоиртся или ишак или падишах точно сдохнут

Всего записей: 26 | Зарегистр. 18-07-2012 | Отправлено: 12:55 26-07-2018
Paromshick



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
IoanSz
Ситуации разные бывают. Пароль можно пробовать и раз в секунду, но с 300 разных ботнетовских машин. Всё-таки, первично узнать сам логин, получить ответ о его блокировке. Пробуют даже michaeljackson
Хорошо, в мемориз.
 
Добавлено:
ЗЫ Из последнего

Цитата:
DOCUWARE
USER1
ADMINISTRATOR
POSTMASTER
ERICK
COMMUNITY
STUDENT
EXCHANGE
DANIEL
NAOMI
ADMINISTRADOR
AdministraDor просто радует...
В принципе, моё дело понять, заказ это или так. Похоже, что так, ни о чём. Домен ни разу не проставили, а у меня нет там локальных учёток, кроме одной, трудно выговариваемой...

----------
Скучно

Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 15:31 26-07-2018
Diabolik



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Mavrikii
Так уж совпало, что у меня Mikrotik'ов (hAP ac2) под рукой прибавилось. Куда говоришь это листинг пихать-то нужно? И я так понял в Dst. Port нужно прописывать внешний-входящий (ну если он изменен с дефолтного)?

Всего записей: 4819 | Зарегистр. 02-10-2004 | Отправлено: 22:29 26-07-2018
Mavrikii

Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Diabolik

Цитата:
Куда говоришь это листинг пихать-то нужно?

в консоли (/ip firewall filter), либо через визуальный интерфейс - firewall filter rules.

Цитата:
Port нужно прописывать внешний-входящий  

да, тот, на который к микротику прилетят пакеты извне

Всего записей: 15118 | Зарегистр. 20-09-2014 | Отправлено: 22:57 26-07-2018 | Исправлено: Mavrikii, 22:59 26-07-2018
alexnov66



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
По микротику есть отдельная тема

Всего записей: 1234 | Зарегистр. 29-08-2005 | Отправлено: 02:18 27-07-2018 | Исправлено: alexnov66, 02:19 27-07-2018
Paromshick



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
По микротику есть отдельная тема

Здесь тема по защите RDP любыми способами. Самим ли сервером, файрволом ли, буль то Kerio, MikroTik, Cisco или не ночи помянутый TMG. Так что постим здесь.
По самовольному модерированию есть пункт в Соглашении

----------
Скучно

Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 07:40 27-07-2018
alexnov66



Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Paromshick

Цитата:
Здесь тема по защите RDP любыми способами

Вопрос задавался по настройке и защите порта на микротике, и если же ссылаться на правила форума то следовало тему закрыть после первого же сообщения.
 
IoanSz
Ни чего страшного не произойдёт если вы удалённо пропишите эти правила, ставте 1 час для блокировки, и время подключения в течении 1 минуты, вы же при подключении знаете логин и пароль, вы попадёте только в первый уровень блокировки, через минуту удалится ваш адрес, в противном случае заблокирует на один час после которого сможете подключиться, если конечно в течении минуты вы предпримете несколько попыток, можно уровень поднять до 5-10 попыток, по желанию.
Можно занести определённые адреса в исключения, и не будут они попадать даже в первый уровень блокировки.

Всего записей: 1234 | Зарегистр. 29-08-2005 | Отправлено: 08:49 27-07-2018 | Исправлено: alexnov66, 09:01 27-07-2018
IoanSz

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Интересная тенденция. почему все у кого есть какие-либо права на форуме, или "лычки", то посылают в поиск, то говрят о том что есть отедльаня ветка для этого, то говорят о закрытии темы. Помощи никакой, только упреки. отсылки и прочее. Посмотрите ветку с начала, абсолютно бесполезные отсылки типа "используйте поиск", а вы сами нашли хоть что-то по этой теме, что бы отправлять в поиск? Вам там корона голому жмет? На англоязычных форумах гораздо приятнее сидеть и общаться, задавать воросы. Тут же какие-то личности, почуявшие власть или божественно предназначение начинаю лепить всяую ересь. Не можешь помочь - хотя бы не мешай людям общаться. Вы тут не надзиратели в лагере, если у вас есть куча сообщений или статус модератора, то это вообще-то подразумеват как раз наоборот, большую ответсвенность и адекватность, я же вижу совсем наоборот ситуацию.  
Можете банить меня или удалять сообщения. Ни одного поста я не собираюсь более на этом форуме оставлять, упивайтесь дальше своей мнимой властью.
С теми кто реально участвовал в обсуждении было приятно пообщаться, спасибо за обсуждение.
С  теми кто не может ничего написать кроме как "Использууй поиск" "для этого есть отдельная веткаи" - не очень. Сидите дальше тут. Надеюсь что людей с которыми обсудить будет все же больше. чем названных личностей, но это уже без меня (прекрасно понимаю что это совсем не великая для вас потеря, но если не измените отношение то получится так что будете друг друга посылать в поиск)

Всего записей: 26 | Зарегистр. 18-07-2012 | Отправлено: 10:01 27-07-2018
Paromshick



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
alexnov66

Цитата:
следовало тему закрыть после первого же сообщения.  
У меня другое мнение. Я вчерашние настройки микротика внёс в свою базу, где не микротиком единым. Чего там только нет. Но комментарий с расшифровкой работы команд, не внёс, забыл. Если бы я полез искать через год? Основываясь на том, что это про защиту подключения к RDP черз микротик? Тема по микротику плавает постоянно, как... и что там найти можно? Вопросы вообще все. А здесь собрано всё в одном, по конкретной теме, вынесенной в заглавие.
Закрыть тему... Таки всю тему? Пишите админу, а не здесь.
 
Добавлено:
IoanSz
Про отдельные ветки - всё правильно. И эта тема конкретно тому подтверждение. Не стоит создавать новую, раз вопрос уже обсуждается. Иначе будет:
Защита средствами Windows
С подразделами, ага. на GP, встроенный фаер и т.п.
Защита фаейрволом
С подразделами по каждому конкретному
Ничего не найдёшь, только спрашивать заново.
А отвечальщиков сколько? Каждый раз на одни и те же вопросы отвечать, нет желания. Тут карьеры не делают, в отличие от "англоязычных".

----------
Скучно

Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 16:39 27-07-2018
vlary



Platinum Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Paromshick
Все правильно. Вопрос защиты RDP - это тема для той ветки.
Вне зависимости, что там стоит, циска, микротик или линух.
Вопрос защиты порта на микротик - это для ветки микротик,
вне зависимости, какой это порт, RDP, FTP или HTTP.  
А все обиды нубов проистекают от нежелания читать правила форума,
да и вообще что-то читать, и зуда сразу же писать.
Форум, в отличие от других, со структурированной тематикой,
и ответ здесь легко найти, даже не задавая вопросов.
Ну а стимул отвечать здесь только один: если вопрос заинтересовал.
Сто раз отвечать на один и тот же вопрос никому не интересно.

----------
Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек

Всего записей: 17280 | Зарегистр. 13-06-2007 | Отправлено: 19:31 27-07-2018
Paromshick



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
vlary

Цитата:
Вопрос защиты RDP - это тема для той ветки.
Для какой? С начала, было Widows и Windows было открыто Давайте в винду уйдём? Или в Group Policy? Или в конкретный софт? Создадим ветку на один пост.
Конечно, обсуждать, как в интерфейс девайса пихать консольные команды, надо в соотв. теме. Но челу одного ответа хватило, это бывает и более чем часто.
Но сами способы перекрыть подбор пароля к RDP следует обсуждать именно тут. Через что бы они не шли эти попытки, извне через стенку или напрямую по локалке. Ибо тут связка с виндовым сервисом более чем чёткая.
Про модерирование, уже сказал. Есть кнопка.
Флуд разводим. Странно, как только произносится заклинание "MikroTik" - 100%, что произойдёт нечто подобное. Дурная наследственность?

----------
Скучно

Всего записей: 3019 | Зарегистр. 12-04-2013 | Отправлено: 21:48 27-07-2018
Diabolik



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Mavrikii
Цитата:
в консоли (/ip firewall filter), либо через визуальный интерфейс - firewall filter rules.
Консоль - это раздел Terminal (я если что в Mikrtorik'ах не силен)? И я так понимаю добавлять нужно построчно сверху-вниз? То есть это не одно правило, а группа. Разом добавить ведь нельзя? А через web-интерфейс я вообще не понял как там такое можно прописать?

Всего записей: 4819 | Зарегистр. 02-10-2004 | Отправлено: 18:27 28-07-2018 | Исправлено: Diabolik, 18:27 28-07-2018
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Защита rdp (3389) порта


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru