چک‌لیست دفاعی امن‌سازی Winbox و SSH در میکروتیک
محدود کردن دسترسی مدیریتی RouterOS، خاموش کردن سرویس‌های ناامن و پیشگیری از قطع شدن دسترسی خودتان؛ راهنمایی کاملاً دفاعی، بدون تکنیک حمله.
باز بودن Winbox یا SSH روی همهٔ آدرس‌ها هنوز یکی از رایج‌ترین ضعف‌های نصب میکروتیک است. این راهنما دفاعی است: چگونه سطح حمله را کم کنید، نه چگونه نفوذ کنید.
اصل طلایی: مسیر مدیریت جایگزین
قبل از بستن دسترسی از WAN:
- مطمئن شوید راه دیگری برای دسترسی دارید: کنسول، دسترسی خارج از باند (Out-of-band) یا آدرس مدیریتی‌ای که با این تغییر قطع نمی‌شود.
- تغییرات را اول روی آزمایشگاه یا یک دستگاه کم‌ریسک تست کنید.
- بکاپ تازه بگیرید (بکاپ محلی).
اگر از راه دور دسترسی خودتان را ببندید، این «امنیت» نیست؛ خودتان قطعی درست کرده‌اید.
سرویس‌هایی که معمولاً باید خاموش باشند
اگر استفادهٔ مشخص ندارید:
- telnet
- ftp
- www (اگر WebFig لازم نیست)
- api از شبکه‌های غیرمدیریتی
SSH و Winbox را روشن نگه دارید، اما فقط برای آدرس‌ها یا فهرست مدیریتی مجاز. API را فقط وقتی باز بگذارید که ابزار مانیتورینگ شما به آن نیاز دارد و از یک میزبان مشخص به آن وصل می‌شود.
محدودسازی با آدرس مجاز
الگوی عملیاتی رایج:
- یک VLAN یا jump host برای ادمین‌ها
- سرویس‌های مدیریتی فقط از همان بازه در دسترس باشند
- فایروال ورودی WAN هر تلاش برای دسترسی مدیریتی از اینترنت را drop کند
ویزارد lockdown در LumexNet همین ایده را به اسکریپتی تبدیل می‌کند که پیش از اجرا می‌توانید بازبینی‌اش کنید، و تا شما تأیید نکنید روی دستگاه اعمال نمی‌شود. پیش از آن، ممیزی export را اجرا کنید تا وضعیت فعلی را ببینید.
کاربر و رمز
- حساب پیش‌فرض را بدون رمز رها نکنید
- برای کاربران و برای سیستم مانیتورینگ، حساب‌های جدا با کمترین دسترسی لازم بسازید
- رمزها را در پیام‌رسان نفرستید؛ آن‌ها را در مخزن رمزنگاری‌شدهٔ پنل خودمیزبان نگه دارید
به‌روزرسانی نسخه
اگر نسخهٔ RouterOS شما هشدار امنیتی شناخته‌شده (advisory) دارد، سخت‌سازی کانفیگ جای ارتقای آن را نمی‌گیرد. هر ماه نسخه‌ها را مرور کنید و برای ارتقا یک پنجرهٔ نگهداری در نظر بگیرید.
بعد از سخت‌سازی چه چیزی را مانیتور کنید
- تلاش‌های ناموفق و پیاپی برای ورود در لاگ (با پوشاندن رمزها در اعلان‌ها)
- قطع دسترسی مانیتور چون IP آن را در لیست مجاز جا انداخته‌اید
- سلامت بکاپ بعد از تغییر سرویس‌ها
جمع‌بندی
امن‌سازی Winbox و SSH یعنی کم کردن سطح حمله، داشتن مسیر امن برای بازگشت و ممیزی دوره‌ای. برای ساختن اسکریپتی که پیش از اجرا بازبینی می‌شود و پایش وضعیت پس از اعمال آن، LumexNet را ببینید.