#/bin/sh
#Сюда вбиваем IP адрес нашего MikroTik
MIKROTIK_IP=192.168.15.9
#Логин от него
MIKROTIK_USER=admin
#Пароль:
MIKROTIK_PASS=verySTRONGpassword!!
#Где лежит лог от Suricata
LOG=/var/log/suricata/fast.log
#Файл, необходимый для работы скрипта (будет создан самим скриптом)
INLOG_FILE=/root/test_after_parser.log
declare -A IP_OUR_MASC
#IP address 192.168.15.9, получаемый по VPN (статический)
#IP address 10.0.14.144, получаемый по WAN (динамический)
#Ниже задаются шаблоны соответствия, по которым будет отрабатывать
#скрипт при анализе IP адресов из fast.log. IP_OUR_MASC[0,1]=10. означает,
#что WAN интерфейс получает адрес, формата 10.0.0.0/8
IP_OUR_MASC[0,0]=IPS; IP_OUR_MASC[0,1]=10.; IP_OUR_MASC[0,2]=12
IP_OUR_MASC[1,0]=OVPN; IP_OUR_MASC[1,1]=192.168.15.9; IP_OUR_MASC[1,2]=12
#Имя вашего WAN интерфейса в RouterOS, необходим для получения текущего IP адреса
NAME_WAN_INTERFACE=WAN
#IP адрес IDS сервера
IP_SURICATA_SERVER=192.168.15.29
#Блокировать угрозы будем на 24 часа
BLOCK_TIMEOUT=24h
#Периодичность просмотра лога от Suricata 10 секунд
SLEEP_TIMEOUT=10
#Имя, создаваемого самим скриптом, address-list-а в RouterOS
NAME_BLOCK_LIST=Suricata_rules
IP_SRC_DEFAULT='IP_OUR'
#Сообщения с таким содержанием будем игнорировать
EVENT_NOT_INTEREST='SURICATA TLS invalid handshake message'
EVENT_NOT_INTEREST2='SURICATA TLS invalid record/traffic'
declare -p ARRAY > /dev/null

while [ 1 = 1 ]; do
	#Проверяем, пустой ли лог
	STRINGS_IN_LOG_FILE=$(cat $LOG | wc | awk {'print $1'})
		if [ "$STRINGS_IN_LOG_FILE" -lt 1 ]; then
			echo "Fastlog is empty, sleep $SLEEP_TIMEOUT second..."
			sleep $SLEEP_TIMEOUT
		else
			#Имеем, что лог не пустой. Начинаем с ним работу
			cat $LOG > $INLOG_FILE
			#Очищаем лог Suricata. В этом месте, конечно, можно терять записи, вносимые IDS системой
			#в текущий момент времени, что является допущением текущей реализации
			echo -n '' > $LOG
			#Парсим лог по переменным
			readarray -t ARRAY < $INLOG_FILE
			for LINE in "${ARRAY[@]}"; do
				DATE=$(echo $LINE | awk -F " " '{print $1}' | cut -c1-10)
				TIME=$(echo $LINE | awk -F " " '{print $1}' | cut -c12-26)
				EVENT=$(echo $LINE | awk -F '[**]' '{print $3}' | awk '!($2="")' | cut -c3- | rev | cut -c 3- | rev)
				CLASS=$(echo $LINE | awk -F '[**]' '{print $5}' | cut -c4- | rev | awk '{$1=$2=$3=$4=$5=$6=""; print $0}' | cut -c 8- | rev)
				PRIOR=$(echo $LINE | awk -F '[**]' '{print $5}' | rev | awk {'print $5'} | cut -c 2- | rev)
				PROTOCOL=$(echo $LINE | awk -F '[**]' '{print $5}' | rev | awk {'print $4'} | cut -c 2- | rev | cut -c 2-)
				IP_SRC=$(echo $LINE | awk -F '[**]' '{print $5}' | rev | awk {'print $3'} | rev | cut -d : -f 1)
				IP_SRC_PORT=$(echo $LINE | awk -F '[**]' '{print $5}' | rev | awk {'print $3'} | rev | cut -d : -f 2-)
				IP_DST=$(echo $LINE | awk -F '[**]' '{print $5}' | rev | awk {'print $1'} | rev | cut -d : -f 1)
				IP_DST_PORT=$(echo $LINE | awk -F '[**]' '{print $5}' | rev | awk {'print $1'} | rev | cut -d : -f 2-)
				echo "$DATE $TIME $EVENT $CLASS $PRIOR $PROTOCOL $IP_SRC $IP_SRC_PORT $IP_DST $IP_DST_PORT"

			#Проверяем текущую строку лога на наличие неинтересного для нас сообщения
			echo -n "$EVENT" | grep "$EVENT_NOT_INTEREST" > /dev/null
			if [ $? = 0 ]; then
				echo -e "Find $EVENT_NOT_INTEREST, do nothing..."
			else
				#Проверяем текущую строку лога на наличие неинтересного для нас сообщения
				echo -n "$EVENT" | grep "$EVENT_NOT_INTEREST2" > /dev/null
					if [ $? = 0 ]; then
						echo -e "Find $EVENT_NOT_INTEREST2, do nothing..."
					else
						#Проверяем не попала ли сама IDS в сработку, так как команды управления будут идти по SSH
						#и могут быть восприняты как брутфорс атака
						if [ x"$IP_SRC" = x"$IP_SURICATA_SERVER" ]; then
							echo -e "Find IP of the Suricata server, do nothing..."
						elif [ x"$IP_DST" = x"$IP_SURICATA_SERVER" ]; then
							echo -e "Find IP of the Suricata server, do nothing..."
						else
							#Уточняем текущий IP адрес на WAN интерфейсе
							IP_OUR_MASC[0,1]=$(sshpass -p $MIKROTIK_PASS ssh $MIKROTIK_USER@$MIKROTIK_IP \
							/ip address print where interface=$NAME_WAN_INTERFACE | grep '/' | awk {'print $3'} | rev | cut -d / -f 2- | rev)

							#Проверки для работы скрипта
							IP_SRC_TEST=$(echo $IP_SRC | cut  -c1-${IP_OUR_MASC[0,2]})
								if [ x"$IP_SRC_TEST" = x"${IP_OUR_MASC[0,1]}" ]; then
									IP_SRC=$IP_SRC_DEFAULT
								else
									IP_SRC_TEST=$(echo $IP_SRC | cut  -c1-${IP_OUR_MASC[1,2]})
									if [ x"$IP_SRC_TEST" = x"${IP_OUR_MASC[1,1]}" ]; then
										IP_SRC=$IP_SRC_DEFAULT
									fi
								fi
							
							#Проверки для работы скрипта
							IP_SRC_TEST=$(echo $IP_DST | cut  -c1-${IP_OUR_MASC[0,2]})
								if [ x"$IP_SRC_TEST" = x"${IP_OUR_MASC[0,1]}" ]; then
									IP_DST=$IP_SRC_DEFAULT
								else
									IP_SRC_TEST=$(echo $IP_DST | cut  -c1-${IP_OUR_MASC[1,2]})
										if [ x"$IP_SRC_TEST" = x"${IP_OUR_MASC[1,1]}" ]; then
											IP_DST=$IP_SRC_DEFAULT
										fi
								fi
							
							#Находится ли детектированный IP уже в address-list на маршрутизаторе
							if [ x"$IP_SRC" = x'IP_OUR' ]; then
								NUMBER_IN_ADDRESS_LIST=$(sshpass -p $MIKROTIK_PASS ssh $MIKROTIK_USER@$MIKROTIK_IP \
								/ip firewall address-list print where list=$NAME_BLOCK_LIST | grep -w "Suricata $IP_DST" | awk {'print $1'})
									if [ -z "$NUMBER_IN_ADDRESS_LIST" ]; then
										#Добавляем новую запись в address-list маршрутизатора
										sshpass -p $MIKROTIK_PASS ssh $MIKROTIK_USER@$MIKROTIK_IP \
										/ip firewall address-list add address=$IP_DST timeout=$BLOCK_TIMEOUT \
										comment=\"Suricata $IP_DST:$IP_DST_PORT to $IP_SRC_PORT $PROTOCOL priority $PRIOR \### $CLASS \### $EVENT\" list=$NAME_BLOCK_LIST
									else
										#Обновляем таймаут для уже существующей записи
										sshpass -p $MIKROTIK_PASS ssh $MIKROTIK_USER@$MIKROTIK_IP \
										/ip firewall address-list set timeout=$BLOCK_TIMEOUT numbers=$NUMBER_IN_ADDRESS_LIST
									fi
							else
								#Тоже самое, относительно другой переменной
								NUMBER_IN_ADDRESS_LIST=$(sshpass -p $MIKROTIK_PASS ssh $MIKROTIK_USER@$MIKROTIK_IP \
								/ip firewall address-list print where list=$NAME_BLOCK_LIST | grep -w "Suricata $IP_SRC" | awk {'print $1'})
									if [ -z "$NUMBER_IN_ADDRESS_LIST" ]; then
										sshpass -p $MIKROTIK_PASS ssh $MIKROTIK_USER@$MIKROTIK_IP \
										/ip firewall address-list add address=$IP_SRC timeout=$BLOCK_TIMEOUT \
										comment=\"Suricata $IP_SRC:$IP_SRC_PORT to $IP_DST_PORT $PROTOCOL priority $PRIOR \### $CLASS \### $EVENT\" list=$NAME_BLOCK_LIST
									else
										sshpass -p $MIKROTIK_PASS ssh $MIKROTIK_USER@$MIKROTIK_IP \
										/ip firewall address-list set timeout=$BLOCK_TIMEOUT numbers=$NUMBER_IN_ADDRESS_LIST
									fi
							fi
							echo 'End ...'
						fi
					fi
			fi
			done
		fi
done