Como Configurar IDS (Intrusion Detection System) no Mikrotik : Passo a Passo

· Atualizado em
O IDS (Intrusion Detection System) no Mikrotik é uma funcionalidade que pode ser implementada no Mikrotik para monitorar atividades suspeitas na rede. Embora o Mikrotik não tenha um IDS dedicado integrado, ele pode ser configurado para identificar e registrar padrões de tráfego anômalos, auxiliando na detecção de possíveis invasões. Usando ferramentas como regras de firewall e logs, você pode criar um ambiente mais seguro e preparado contra ameaças.

Passo a Passo para Configurar um IDS Básico no Mikrotik

  1. Acesse o Mikrotik

    • Conecte-se ao Mikrotik via WinBox, SSH ou interface Web.

  2. Habilite o Log para Registros de Atividades

    • Ative o sistema de logs para registrar eventos de rede que podem indicar comportamentos suspeitos: 
      /system logging add topics=firewall action=memory

  3. Configure Regras de Detecção de Ataques no Firewall

    • Crie regras no firewall para monitorar e registrar atividades suspeitas, como tentativas de acesso a portas específicas: 
      /ip firewall filter add chain=input protocol=tcp dst-port=22 connection-state=new action=log log-prefix="Tentativa SSH"

  4. Detecte Ataques de DDoS (Distributed Denial of Service)

    • Adicione regras para identificar fluxos anômalos de pacotes e bloquear automaticamente: 
      /ip firewall filter add chain=input protocol=tcp connection-limit=10,32 action=add-src-to-address-list address-list=DDoS_Attackers address-list-timeout=1h comment="Detectar DDoS"
/ip firewall filter add chain=input src-address-list=DDoS_Attackers action=drop comment="Bloquear DDoS"

  5. Monitore Tráfego ICMP Suspeito

    • Use o firewall para registrar ou limitar ICMP caso ataques de ping flood sejam detectados: 
      /ip firewall filter add chain=input protocol=icmp limit=5,10 action=log log-prefix="Ping Flood Detectado"
/ip firewall filter add chain=input protocol=icmp limit=1,5 action=drop comment="Bloquear Ping Flood"

  6. Use o Sniffer de Pacotes para Monitoramento Profundo

    • Configure o Packet Sniffer do Mikrotik para capturar tráfego em tempo real e analisar padrões: 
      /tool sniffer set file-name=trafego_suspeito.pcap filter-protocol=tcp filter-port=22
/tool sniffer start

  7. Automatize Alertas com Scripts

    • Crie scripts para enviar notificações quando atividades específicas forem detectadas: 
      /system script add name="AlertaIDS" policy=ftp,reboot,read,write,policy,test,winbox,password source="/tool e-mail send to=<a rel="noopener">[email protected]</a> subject='Alerta de IDS' body='Atividade suspeita detectada!'"

  8. Teste e Ajuste as Regras

    • Simule cenários de ataque, como tentativas de login em portas específicas ou pings excessivos, para verificar se as regras estão funcionando corretamente.

Considerações Finais

Embora o Mikrotik não tenha um IDS completo integrado, ele oferece ferramentas poderosas para monitorar e responder a atividades suspeitas. Configurar essas regras e monitoramentos garante mais segurança para sua rede e ajuda a detectar problemas antes que causem danos significativos.