Реализация fail2ban на MikroTik RouterOS

Реализация выполнена при помощи встроенных триггеров RouterOS, без использования внешних сервисов и без периодических запусков скриптов по шедулеру.

Сразу отмечу, что fail2ban нельзя использовать как полноценный инструмент защиты доступа к управлению маршрутизатором. Доступ к службам управления по-умолчанию должен быть закрыт фаерволом из всех сетей за исключением management. И, возможно, с адресов из локального «белого списка». Fail2ban, применяется к management-интерфейсу на случай, когда злоумышленник уже получил доступ в подсеть управления. Либо в подсети управления оказался вирус, троян, нелояльный пользователь. Также бывали случаи, когда трафик управления мог пропускаться из-за ошибки в правилах фаервола. Итак, fail2ban, это скорее последний уровень защиты управления маршрутизатором.

Для начала создаем скрипт, который будет выполнять работу по поиску и извлечению адреса из тела сообщения системы «$message». Помещаем скрипт в системную библиотеку скриптов /system scripts на маршрутизаторе и присваиваем скрипту название «loginfail2ban».

:local ListName "BlackList1":local BanTime 1d:local LogMess "fail2ban added address ":local  at  [:find $message " from "]:local  r1  [:pick $message ($at + 6) [:find $message " via " $at]]:if (([:typeof [:toip $r1]])="ip") do={:do {/ip firewall address-list add list=$ListName address=([:toip $r1]) timeout=$BanTime; :log warning ($LogMess.[tostr $r1] ."  to list ".$ListName); exit } on-error={:log warning ("address IPv4 already exist in ".$ListName); exit}}:if (([:typeof [:toip6 $r1]])="ip6") do={:do {/ipv6 firewall address-list add list=$ListName address=([:toip6 $r1]) timeout=$BanTime; :log warning ($LogMess.[tostr $r1]."  to list ".$ListName); exit } on-error={:log warning ("address IPv6 already exist in ".$ListName); exit}}:log warning "Fail2ban - no address found to block bruteforce"

_{Переменная «ListName» содержит имя для address-list фаервола. Переменная «BanTime» указывает время на которое будет добавлена динамическая запись в адрес-листе.}

После этого нужно включить механизм активации скрипта при неудачном логине. Делается это в контексте /system logging

/system logging action add name=fail2ban target=script script=loginfail2ban  /system logging add action=fail2ban regex=“^login failure” topics=system,error,critical 

Первое действие описывает новый action=script вызывающий ранее созданный скрипт с именем «loginfail2ban», хранящийся в библиотеке скриптов.

Второе действие создает непосредственный триггер, который срабатывает только при возникновении сообщения с сочетанием топиков «system+error+critical» и при наличии в начале сообщения подстроки «login failure».

Особенности эксплуатации:

1. Скрипт умеет обрабатывать адреса и протоколов IPv6 и IPv4.

2. Скрипт пропускает MAC-адреса, т.к. протоколы MAC-Winbox и MAC-Telnet не блокируются привычным IP/IPv6 фаерволом.

3. Скрипт срабатывает при любом неправильном вводе пароля. По этому есть шанс попасть в бан при первом же неправильном вводе пароля. Об этом вам предстоит позаботиться заранее самостоятельно.

4. В фаерволе ip и ipv6 должны существовать правила, блокирующие доступ с src-address-list=BlackList1 (название списка приведено для примера и его можно менять)