جلوگیری از پورت‌اسکن در میکروتیک با قابلیت PSD

یکی از رایج‌ترین حمله‌ها روی روترهایی که مستقیماً به اینترنت وصل هستند، پورت‌اسکن هست. مهاجم با اسکن کردن پورت‌ها می‌فهمه چه سرویس‌هایی روی دستگاه شما بازه و بعدش می‌تونه مرحله بعدی حمله رو شروع کنه. تغییر پورت‌های پیش‌فرض کمک می‌کنه ولی کافی نیست، چون ابزارهایی مثل Nmap خیلی راحت سرویس‌های پنهان رو هم پیدا می‌کنن. اینجاست که باید از PSD (Port Scan Detection) استفاده کنیم.

PSD چیست؟

PSD یک مکانیزم داخلی در Firewall میکروتیکه که تلاش‌های اسکن پورت رو تشخیص می‌ده. وقتی تعداد و نوع پورت‌هایی که یک منبع توی یک بازه زمانی اسکن می‌کنه از حد مشخصی بیشتر بشه، اون IP توی یک address-list قرار می‌گیره و می‌شه براش محدودیت گذاشت یا کامل بلاکش کرد.

پارامترهای اصلی:

Weight Threshold: هر بار یک پورت اسکن بشه امتیاز می‌گیره. وقتی امتیاز به حدی که تعیین کردید برسه، آدرس به عنوان اسکنر شناخته می‌شه.
Delay Threshold: بازه زمانی بررسی (مثلاً 3 ثانیه).
می‌شه برای پورت‌های مهم‌تر (0–1024) وزن بیشتری تعریف کرد تا سریع‌تر تشخیص داده بشن.

نمونه تنظیمات عملی

۱) فعال‌سازی PSD و اضافه کردن به لیست اسکنرها

۲) شناسایی متدهای معروف Nmap با TCP Flags

FIN scan#

add chain=input protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg action=add-src-to-address-list address-list=”port scanners” comment=”NMAP FIN Stealth scan” address-list-timeout=2w

SYN/FIN scan#
add chain=input protocol=tcp tcp-flags=fin,syn action=add-src-to-address-list address-list=”port scanners” address-list-timeout=2w

SYN/RST scan#
add chain=input protocol=tcp tcp-flags=syn,rst action=add-src-to-address-list address-list=”port scanners” address-list-timeout=2w

FIN/PSH/URG scan#
add chain=input protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack action=add-src-to-address-list address-list=”port scanners” address-list-timeout=2w

ALL/ALL scan#
add chain=input protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg action=add-src-to-address-list address-list=”port scanners” address-list-timeout=2w

NULL scan#
add chain=input protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg action=add-src-to-address-list address-list=”port scanners” address-list-timeout=2w

۳) بلاک کردن اسکنرها

add chain=input src-address-list=”port scanners” comment=”Drop port scanners” action=drop

نکات مهم

حتماً رول‌ها رو هم روی chain=forward تست کنید تا اگه یکی از دستگاه‌های داخل شبکه شروع به اسکن کرد شناسایی بشه.

وزن پورت‌ها رو با توجه به حساسیت شبکه خودتون تنظیم کنید.

Address-list رو مرتب بررسی کنید تا خطای شناسایی باعث بلاک شدن سرویس‌های قانونی نشه.

بهتره PSD رو با Rate-limit و لاگ‌گیری ترکیب کنید تا دید بهتری روی حمله‌ها داشته باشید.

نکته مهم: همیشه RouterOS رو به‌روز نگه دارید.

پستهای مرتبط

🔐 چرا PAM برای امنیت دسترسی VPN حیاتی است؟

چرا باید در امنیت شبکه از PAM (Privileged Access Management) استفاده کنیم؟ در بسیاری از سازمان‌ها، VPN نقطه اصلی ورود…

🔐 تغییر رمزهای پیش‌فرض در Issabel-یک گام مهم برای امنیت سیستم!

در سیستم‌های تلفنی Issabel و Asterisk، امنیت همیشه یکی از دغدغه‌های اصلی مدیران شبکه است.یکی از مهم‌ترین اقداماتی که پس…

کلیه حقوق این وب سایت نزد هادی خانمیرزا محفوظ می باشد