Novērota pastiprināta uzbrucēju aktivitāte pret MikroTik maršrutētājiem, tādēļ iekārtu īpašniekiem un administratoriem ieteicams nekavējoties pārbaudīt RouterOS versiju un uzstādīt ražotāja drošības atjauninājumus. Ieteiktās versijas ir 7.24.2 stabilajā atjauninājumu kanālā, ko biežāk izmanto privātajās iekārtās, kā arī 7.23.4 vai 6.49.21 ilgtermiņa kanālā, ko nereti izvēlas uzņēmumu vidē. Atjaunināšana ir svarīga arī tad, ja maršrutētājs šķietami darbojas normāli un nav pamanītas acīmredzamas kompromitēšanas pazīmes.
Maršrutētājs ir viens no kritiskākajiem tīkla elementiem: caur to plūst interneta datplūsma, un tas bieži ir tieši sasniedzams no ārējā tīkla. Iegūstot kontroli pār šādu iekārtu, uzbrucējs var mainīt DNS vai maršrutēšanas iestatījumus, pārtvert vai novirzīt savienojumus, izveidot slēptu piekļuvi iekšējam tīklam un izmantot ierīci turpmākiem uzbrukumiem. Kompromitēts rūteris var tikt pievienots arī robotu tīklam, lai veiktu paroļu minēšanu, skenēšanu vai pakalpojumu atteices uzbrukumus pret citiem mērķiem.
Atjauninājums jāveic kontrolēti. Pirms darba ieteicams izveidot aktuālu konfigurācijas rezerves kopiju un eksportu, pārbaudīt ierīces modeli, brīvo vietu un izvēlēto RouterOS atjauninājumu kanālu. Pēc pakotņu instalēšanas un pārstartēšanas jāpārbauda arī RouterBOARD aparātprogrammatūras versija un vajadzības gadījumā jāveic tās atjaunināšana. Uzņēmuma tīklā procesu vispirms var izmēģināt vienā mazāk kritiskā ierīcē, taču, ņemot vērā pastiprināto uzbrucēju aktivitāti, atjaunināšanu nevajadzētu bez pamata atlikt.
Vienlaikus jāsamazina maršrutētāja pārvaldības saskarnes ekspozīcija. WinBox, SSH, tīmekļa administrēšana un citi pārvaldības pakalpojumi nedrīkst būt brīvi pieejami no visa interneta, ja tas nav absolūti nepieciešams. Piekļuve jāierobežo ar ugunsmūra noteikumiem līdz uzticamām IP adresēm vai jānodrošina caur VPN. Jāatspējo neizmantotie servisi, jādzēš nevajadzīgi konti, jāizmanto unikālas un garas administratoru paroles un, kur iespējams, jāatsakās no noklusējuma lietotājvārdiem. Administrēšanai vēlams izveidot atsevišķu, ierobežotu tīkla segmentu.
Ierobežot tiešu piekļuvi savam rūterim var arī atļaujot tikai Latvijas IP adreses.
Pēc atjaunināšanas jāpārskata konfigurācija un žurnāli, meklējot nezināmus lietotājus, negaidītus skriptus vai plānotos uzdevumus, izmainītus DNS serverus, aizdomīgus ugunsmūra un NAT noteikumus, kā arī neizskaidrojamus tuneļus un savienojumus. Ja rodas aizdomas, ka iekārta jau kompromitēta, ar vienkāršu programmatūras atjaunināšanu var nepietikt: ierīce jāizolē, jāsaglabā izmeklēšanai vajadzīgā informācija un drošā veidā jāatjauno zināmi laba konfigurācija. Savlaicīgi atjaunināta un no interneta norobežota pārvaldība būtiski samazina iespēju, ka maršrutētājs kļūs par uzbrucēja ieejas punktu tīklā.
Avots: cert.lv raksts · X ieraksts
