ممیزی امنیتی فایل export میکروتیک؛ از کجا شروع کنید
بررسی سیستماتیک export متنی RouterOS برای سرویس‌های باز، دسترسی مدیریت و نشانه‌های پیکربندی ضعیف — بدون حمله و بدون ابزار مخرب.
بسیاری از رخدادهای امنیتی روتر از «باگ صفرروز» شروع نمی‌شوند؛ از سرویس مدیریت باز روی اینترنت، رمز ضعیف، یا سرویس‌های قدیمی مثل telnet شروع می‌شوند. ممیزی فایل export یک راه کم‌ریسک است تا قبل از اتصال زنده، کانفیگ را مرور کنید.
export چه چیزی به شما می‌دهد
خروجی متنی /export (در گزارش‌هایی که با دیگران به اشتراک می‌گذارید، ترجیحاً بدون مقادیر حساس) ساختار سرویس‌ها، فایروال، کاربرها و اینترفیس‌ها را نشان می‌دهد. برای ممیزی داخلی، نسخهٔ کامل را روی سیستمی امن نگه دارید؛ برای آموزش یا تیکت، بخش‌های حساس را حذف کنید.
LumexNet می‌تواند فایل export را بگیرد و یافته‌ها را بر اساس شدت دسته‌بندی کند. فهرستی از نسخه‌های RouterOS را هم که هشدار امنیتی شناخته‌شده (advisory) دارند نگه می‌دارد تا ارتقا را یادآوری کند؛ این فهرست دستی به‌روز می‌شود و LumexNet آن را خودکار از اینترنت دریافت نمی‌کند.
محورهای بررسی دفاعی
این فهرست جنبه‌های دفاعی است، نه دستورالعمل نفوذ:
- سرویس‌های مدیریت: آیا telnet/ftp/www/api از هر جا باز است؟ SSH و Winbox باید محدود به شبکهٔ مدیریت باشند.
- آدرس‌های مجاز: مدیریت فقط از jump host یا VLAN ادمین.
- کاربر و گروه: حساب‌های بلااستفاده، دسترسی write برای افراد غیرضروری.
- فایروال ورودی: آیا ترافیک ناخواسته از سمت WAN اجازهٔ عبور دارد، یا قاعدهٔ پیش‌فرض drop دارید؟
- نسخهٔ RouterOS: نسخه‌های قدیمی با advisory عمومی را در برنامهٔ ارتقا بگذارید.
- سرویس‌های کشف و پروکسی: قابلیت‌هایی که لازم ندارید خاموش باشند.
برای چک‌لیست امن‌سازی Winbox و SSH مقالهٔ امن‌سازی Winbox و SSH را ببینید.
شدت یافته‌ها را جدی بگیرید
همهٔ هشدارها یکسان نیستند. «سرویس telnet فعال روی اینترفیس WAN» معمولاً بحرانی است، ولی «یک comment نامرتب» بحرانی نیست. در گزارش ممیزی، روی بحرانی و بالا اول وقت بگذارید؛ بعد، یافته‌های متوسط را در اسپرینت بعدی رفع کنید.
وقتی یافته را درست کردید، دوباره export بگیرید و مقایسه کنید. اینجا diff کانفیگ جلوی برگشت ناخواستهٔ تنظیمات را می‌گیرد.
ویزارد در برابر اعمال کورکورانه
ساخت اسکریپت lockdown یا فایروال پایه با ویزارد سریع است، اما اعمال خودکار و بدون بازبینی روی روتری که در شبکهٔ عملیاتی کار می‌کند خطرناک است. الگوی امن:
- اسکریپت را بسازید و دانلود کنید.
- در آزمایشگاه یا روی یک لبهٔ کم‌ریسک تست کنید.
- اختلاف (diff) اسکریپت با کانفیگ فعلی دستگاه را ببینید.
- فقط با تأیید صریح (مثلاً تایپ نام دستگاه) اعمال کنید.
گردش‌کار دوره‌ای پیشنهادی
- هفته‌ای یک بار: مرور هشدارهای باز مانیتورینگ.
- ماهانه: ممیزی export برای روترهای اینترنتی.
- بعد از هر تغییر بزرگ: بکاپ + diff + ممیزی کوتاه.
اشتباهات رایج در ممیزی
- اتکا به یک اسکن پورت از بیرون بدون خواندن کانفیگ.
- نادیده گرفتن روترهای «موقت» که ماه‌ها موقتی مانده‌اند.
- اشتراک‌گذاری export کامل در گروه چت عمومی.
- بستن Winbox بدون داشتن مسیر جایگزین برای مدیریت (دسترسی خودتان را قطع نکنید؛ اول با کنسول یا یک مسیر مدیریتی جایگزین، مثل دسترسی خارج از باند، آزمایش کنید).
جمع‌بندی
ممیزی export یک عادت ارزان و پراثر است: سرویس‌های خطرناک را زود می‌بینید، نسخه را رصد می‌کنید، و پیش از هر تغییر بزرگ، تصویر روشنی از وضعیت فعلی دارید. اگر می‌خواهید این کار کنار مانیتور و بکاپ در یک پنل خودمیزبان باشد، LumexNet را امتحان کنید.