MikroTik Daymare. Защищаем оборудование MikroTik от хакерских атак

На­деж­но защитить сеть получит­ся, толь­ко если понимать всю ее кар­тину и уметь интегри­ровать фун­кции безопас­ности так, что­бы они работа­ли кор­рек­тно и не наруша­ли нор­маль­ную работу. В этом и есть слож­ность сетевой безопас­ности. Сети — осно­ва любых сов­ремен­ных орга­низа­ций, и к работе с ними нуж­но под­ходить осто­рож­но.

Неиспользуемые интерфейсы

Од­но из глав­ных пра­вил хороше­го тона — вык­лючать неис­поль­зуемые интерфей­сы. Это сни­жает веро­ятность несан­кци­они­рован­ного под­клю­чения. Соб­люсти это пра­вило очень прос­то:

Discovery-протоколы

Discovery-про­токо­лы (DP) уяз­вимы к двум offensive-век­торам:

• Information Gathering — ата­кующий может извлечь чувс­тви­тель­ную информа­цию про­тив обо­рудо­вания, рас­сыла­юще­го DP в свои пор­ты;
• Neighbor Table Overflow — ата­кующий может выпол­нить перепол­нение таб­лицы соседей в кон­тек­сте про­токо­лов CDP/LLDP, что перег­ружа­ет про­цес­сор устрой­ства, а это при­водит к DoS. Ата­ка осно­вана на соз­дании лож­ных DP-кад­ров и мас­совой рас­сылке с при­целом на порт RouterOS.

Луч­шая прак­тика — огра­ничить работу этих про­токо­лов, то есть оста­вить их толь­ко на тех интерфей­сах, где это необ­ходимо. Тог­да обо­рудо­вание не будет лиш­ний раз рас­простра­нять информа­цию о себе там, где это не нуж­но.

Безопасность Winbox на L2

Winbox может работать на уров­не L2, то есть сетевой инже­нер может обра­тить­ся к RouterOS, минуя сетевой уро­вень. За это отве­чает имен­но MAC Winbox Server, поз­воля­ющий под­клю­чить­ся к Winbox без IP-адре­сации.

По умол­чанию MAC Winbox Server дос­тупен на всех интерфей­сах, и это нехоро­шо. Для повыше­ния безопас­ности рекомен­дует­ся раз­решить исполь­зовать его толь­ко на опре­делен­ных интерфей­сах.

При­мер: я раз­решаю MAC Winbox Server толь­ко на внут­реннем LAN-лис­те, где находит­ся LAN-мост для работы внут­ри сети.

Раз­решай MAC Winbox Server там, где тебе нуж­но.

DHCP Snooping

DHCP Snooping — это фун­кция безопас­ности, которая пре­дот­вра­щает ата­ку DHCP Spoofing. Ата­ка работа­ет сле­дующим обра­зом: зло­умыш­ленник внут­ри сети под­нима­ет лож­ный DHCP-сер­вер для пос­леду­ющей MITM-ата­ки. По DHCP может переда­вать­ся адрес шлю­за по умол­чанию, и этим адре­сом может быть хост ата­кующе­го.

DHCP Snooping работа­ет по прин­ципу доверен­ных и недове­рен­ных пор­тов. На недове­рен­ных пор­тах будут отсле­живать­ся все DHCP-сооб­щения. Цель в том, что­бы про­верить, сге­нери­рова­ны ли они DHCP-сер­вером. Ведь если в поль­зователь­ском сег­менте мы будем видеть сооб­щения вро­де DHCPLEASEQUERY, DHCPOFFER и DHCPACK, то это однознач­но ано­малия и в поль­зователь­ской сети находит­ся DHCP-сер­вер. На доверен­ных же пор­тах все DHCP-сооб­щения будут счи­тать­ся легитим­ными. Обыч­но доверен­ные пор­ты нас­тра­ивают­ся на соеди­нени­ях меж­ду ком­мутато­рами и мар­шру­тиза­тора­ми, а недове­рен­ные кон­фигури­руют­ся на пор­тах, куда под­клю­чают­ся конеч­ные стан­ции (нап­ример, компь­ютер, прин­тер, точ­ки дос­тупа, VoIP).

В RouterOS DHCP Snooping вклю­чает­ся имен­но на bridge, где все пор­ты устрой­ства уже будут счи­тать­ся недове­рен­ными. Но что­бы перек­лючить нуж­ный порт, тебе понадо­бит­ся перехо­дить в нас­трой­ки самого интерфей­са. DHCP Snooping тре­бует вдум­чивой нас­трой­ки, в ходе которой нуж­но будет отталки­вать­ся от осо­бен­ностей инфраструк­туры.

Вклю­чаем DHCP Snooping на bridge:

Наз­нача­ем доверен­ный порт в кон­тек­сте DHCP Snooping:

На этом кон­фигура­ция DHCP Snooping завер­шена, на недове­рен­ных пор­тах будут отсе­кать­ся слу­жеб­ные DHCP-сооб­щения, которые обыч­но исполь­зуют­ся имен­но DHCP-сер­вером. Пос­коль­ку при ата­ке зло­умыш­ленник дол­жен навязать свой адрес в качес­тве шлю­за сооб­щени­ем DHCPOFFER, эти нас­трой­ки помога­ют пол­ностью пре­дот­вра­тить ее. Одна­ко будь осто­рожен с нас­трой­ками, что­бы не выз­вать неп­редна­мерен­ный DoS.

Настройка файрвола

Firewall в RouterOS — это под­систе­ма, которая отве­чает за обра­бот­ку и филь­тра­цию всех пакетов. К нас­трой­ке фай­рво­ла, на мой взгляд, дол­жно быть осо­бое отно­шение, потому что от нее зависит и про­изво­дитель­ность устрой­ства, и уро­вень безопас­ности.