Защитник — датчик, который сообщает об атаках на вашу сеть

В терминале WinBox или по SSH. Замените 172.22.40.10 на адрес машины с датчиком.

# 1. Куда слать журнал
/system logging action add name=pdn target=remote remote=172.22.40.10 remote-port=5514 bsd-syslog=yes

# 2. Что слать: отброшенные пакеты и неудачные входы
/system logging add action=pdn topics=firewall
/system logging add action=pdn topics=system,error,critical

# 3. Логировать то, что файрвол отбрасывает снаружи (с ограничением частоты).
#    В префиксе обязательно слово DROP, иначе датчик пропустит строку
/ip firewall filter add chain=input action=log log-prefix="DROP-IN" in-interface-list=!LAN limit=30,100:packet place-before=[find chain=input action=drop in-interface-list=!LAN]

Если в вашей конфигурации нет правила «drop all not coming from LAN», выполните /ip firewall filter print и поставьте такое же логирующее правило перед вашим правилом, которое отбрасывает трафик из интернета. Логирование на правилах accept не включайте: журнал забьётся.

Проверка: введите 5 раз подряд неверный пароль на роутер (WinBox или SSH) с другого компьютера. Через минуту в кабинете появится событие «Подбор пароля».

Status → System Logs → Settings → Remote Logging: включите удалённый журнал, укажите IP_датчика:5514 и отметьте события файрвола. В правилах, блокирующих входящий трафик из WAN, включите «Log packets that are handled by this rule».

Формат filterlog поддержан, но на реальном оборудовании не проверялся: расскажите нам, как получилось.

logging enable
logging host inside 172.22.40.10 udp/5514
logging trap warnings

Сообщения «Deny tcp src … dst …» поддержаны; на реальном оборудовании не проверялись.

В настройках системного журнала укажите удалённый syslog-сервер IP_датчика:5514. Для правил iptables с логированием нужен префикс со словом DROP: например, -j LOG --log-prefix "DROP-IN " перед правилом DROP.

Строки вида SRC=… DST=… DPT=… поддержаны; названия пунктов меню зависят от прошивки.

Заполните форму заявки на этой странице: на указанный e-mail придёт персональная ссылка на файлы (действует 14 дней, до 10 скачиваний) и контрольная сумма архива. Без заявки файлы не выдаются.

Нет. Датчик ничего не блокирует: он наблюдает и сообщает. Он дополняет антивирус и файрвол, а не заменяет их.

Нет. Датчик сам обращается к серверу по HTTPS (исходящее соединение). Входящих подключений из интернета и удалённого доступа к вашей сети у нас нет, а сервер не может послать датчику команду.

Тип события, время, IP-адрес источника, порт, число срабатываний, а для новых устройств — IP и MAC-адрес. Не отправляются: сырые журналы, имена компьютеров, DNS-запросы, посещённые сайты, содержимое трафика и всё, что ввели в ловушку.

30 дней, затем удаляются автоматически. Датчик можно удалить из кабинета вместе со всеми его событиями в любой момент.

Датчик продолжит работать и отправит накопленное, когда связь вернётся. Если он не выходил на связь 5 минут, вы получите письмо. При очень долгой недоступности сервера самые малозначимые старые события отбрасываются.

Любой компьютер или виртуальная машина с Linux (Ubuntu или Debian) и Docker в той же сети, лучше по кабелю. Docker Desktop на Windows и macOS не подходит. Версия для Windows в разработке.

Да. В пилоте — до трёх датчиков на аккаунт, у каждого свои название и лента событий. Подходит для ИТ-аутсорсеров, обслуживающих несколько компаний.

Нет. Там требуются сертифицированные средства защиты. Защитник — лёгкий инструмент наблюдения для коммерческих организаций, он не заменяет требования регуляторов.

Нет, он следит за сетью: роутером и устройствами. Проверка самого сайта на соответствие 152-ФЗ — отдельная бесплатная услуга сервиса ПДн-Сторож на главной странице.

Используем только для связи по заявке и отправки материалов о продукте. Заявки, по которым мы не начали работу, удаляются через год. Согласие можно отозвать письмом на адрес из раздела «Контакты».

Защитник сейчас в закрытом пилоте. Условия участия мы обсуждаем индивидуально при знакомстве.