Is someone breaking into mikrotik?

Question

Mikrotik

login failure for user root from 116.229.239.244 via ssh

It gives me all day that someone from Shanghai is trying to break into my Mikrotik via ssh :) Who experiences this and what line in the firewall to block it?
I added an input rule: I specified source address > 116.229.239.244 and put drop ?? Will this be enough?

Answer 1

Не зная специфику сети сложно давать советы. Общее правило, площадь атаки должна быть минимальной.
В идеале ограничить доступ по SSH только локальной сетью, если это не возможно, то белым списком ip. В любом случае следует предпринять меры по блокировке брутфорса. wiki.mikrotik.com/wiki/Bruteforce_login_prevention

Answer 2

1) Отключите дефолтного пользователя admin и не держите простых паролей.
2) Если не нужен ssh доступ из-вне, то отключите его совсем
3) Если вдруг шапочка из фольги не помогает, то настройке port knocking, чтобы до ssh было достучаться труднее.
От того что один тупой бот перестанет к вам стучаться, никакого толку. Банить каждого нового устанете. Просто не выставляйте наружу сервисы с дефолтным логином и простым паролем. В идеале, для ssh авторизация только по ключу.

Answer 3

Это все отлично! :) примерно в таком духе все и сделал. Но сегодня обнаружил на разных своих микротиках в разных местах к одному пытаются валиться во web хотя порт изменен на нестантартный.. а на том где открыт 500 порт ля ipsec сервера пытаются ввалиться по vpn и причем с разных адресов но из одного региона... даже список составил на скорую руку..

A list of addresses
for vpn 500 the ipsec
71.6.146.185
216.218.206.66
216.218.207.82
216.218.206.94
216.218.206.118
216.218.206.122
158.130.6.191
216.218.206.106
216.218.206.110
163.172.129.15 of
web - c to change the port
91.204.60.61 -
Zaporozhye 89.163.242.68
62.138 .8.31
half as seen by vpn from the same place :) it's kind of strange