[miejsce publikacji] ICT Professional, Nr 20 – Jesień 2018

[rubryka] Baza Wiedzy

[autor] Michał Filipek

[tytuł] Jak skutecznie zabezpieczyć MikroTik RouterOS?

W ostatnim czasie głośno jest o lukach w systemie RouterOS. W idealnym świecie nie powinny się pojawiać, lecz praktyka wskazuje, że każdy producent ma na swoim koncie mniej lub więcej wpadek. Co za tym idzie, stosując zasadę ograniczonego zaufania, warto zadbać o bezpieczeństwo naszych routerów. Poniższy tekst pokazuje elementy, na które należy zwrócić szczególną uwagę, zabezpieczając nasz router. Zajmiemy się kolejno: kontami użytkowników, zabezpieczeniem dostępu po IP i adresach MAC, interfejsami, usługami typu DNS czy bt-Test, regułami firewall i kilkoma jeszcze.

Konta użytkowników

Na początek przejdźmy do użytkowników systemowych (System -> Users). Użytkownicy ci będą mogli logować się na router i w zależności od uprawnień, przeglądać lub modyfikować konfigurację. Zaleceniem jest tu zmiana domyślnego loginu: admin na inny, korzystanie z silnych, złożonych i długich haseł oraz przydzielenie osobnych kont dla każdego z administratorów.

/user set 0 name=nazwaUżytkownika

/user set 0 password=”odpowiednioSkomplikowaneHasło”

W większych środowiskach, zamiast lokalnej bazy użytkowników, warto rozważyć wykorzystanie serwera Radius do autoryzacji – oczywiście z zachowaniem wcześniej przytoczonych zasad. W temacie użytkowników warto ograniczyć dostęp dla kont, gdzie i tak wiemy, że wykorzystywane są jedynie z sieci wewnętrznej (np. allowed-address=192.168.1.0/24).

/user set 0 allowed-address=192.168.1.0/24

Dostęp z sieci bezpośrednio podłączonych do routera, adres mac

Dobrą praktyką jest wyłączenie wszystkich fizycznych interfejsów, które nie są obecnie używane:

/interface set 1,2,3 disabled=yes

Następnie warto zastanowić się, jak nasz router podłączony jest do sieci zewnętrznej oraz czy aby na pewno wszystkie sieci prywatne są sieciami zaufanymi. Typowy schemat podłączenia routera poniżej:

Można rozważyć przeznaczenie jednego z interfejsów do zarządzania lokalnie naszym urządzeniem. Na pozostałych interfejsach powinniśmy wyłączyć możliwość łączenia się do routera za pomocą adresu MAC, jak również wyłączyć działanie protokołu MNDP (MikroTik Neighbor Discovery Protocol). W tym celu wykonujemy następujące kroki:

/interface list add name=mgmt

/interface list member add interface=ether5 list=mgmt

/ip neighbor discovery-settings set discover-interface-list=mgmt

/tool mac-server mac-winbox set allowed-interface-list=mgmt

/tool mac-server set allowed-interface-list=mgmt

/tool mac-server ping set enabled=no

W powyższym przykładzie ograniczyliśmy działanie protokołu MNDP do interfejsu ether5. Jeżeli MNDP jest włączony na danym interfejsie, to za jego pomocą nasz RouterOS może wykrywać inne urządzenia, jak i sam staje się wykrywalny. Poza faktem bycia wykrytym, router ujawni również swój identyfikator, platformę, na jakiej działa, a także, jakie oprogramowanie jest na nim zainstalowane (w której wersji).

Podobnie zrobiliśmy, ograniczając możliwość zalogowania się na urządzenie, za pomocą opcji mac- winbox, mac-telnet, tylko do interfejsu ether5.

Metody dostępu do urządzenia (z wykorzystaniem IP) oraz inne usługi

RouterOS umożliwia nam zarządzanie naszym routerem na wiele sposobów. Każdy z nich może stać się słabym punktem naszego bezpieczeństwa. Dlatego dostęp do naszego routera powinniśmy ograniczyć do jednej, czasami dwóch metod.

/ip service disable [find name=telnet]

/ip service disable [find name=ftp]

/ip service disable [find name=www]

/ip service disable [find name=www-ssl]

/ip service disable [find name=api]

/ip service disable [find name=api-ssl]

W tym przypadku pozostawiliśmy jedynie dostęp ssh oraz winbox. Dodatkowo, możemy zmienić domyślne numery portów, na jakich działają usługi winbox, ssh, oraz wskazać, z jakich adresów IP będziemy mogli się do nich podłączyć.

/ip service set port=2022 address=10.10.10.10,10.10.10.11 [find name=ssh]

/ip service set port=18291 address=10.10.10.10,10.10.10.11 [find name=winbox]

Kolejnym elementem podnoszącym bezpieczeństwo jest ustawienie silnej kryptografii dla połączeń ssh:

/ip ssh set strong-crypto=yes

Pozostałe usługi, jakie powinniśmy wyłączyć:

/tool bandwidth-server set enabled=no

/ip dns set allow-remote-requests=no

/ip socks set enabled=no

Usługa UPnP pozwala na dynamiczne tworzenie reguł dst-nat dla urządzeń w sieci LAN, które o to poproszą. Najczęściej są nimi konsole do gier czy telewizory IP. Gdy tylko jest to możliwe, zalecane jest wyłączenie tej funkcjonalności.

/ip upnp set enable=no

RP Filter – metoda blokowania pakietów mających niepoprawny adres źródłowy (spoofing). Tzn. z naszej sieci LAN nie powinien wyjść pakiet, którego adres źródłowy nie odpowiada wpisom w tablicy FIB.

/ip settings set rp-filter=strict

Jeżeli nie korzystamy z usługi MikroTik ip cloud, powinniśmy ją wyłączyć:

/ip cloud set ddns-enable=no update-time=no

Podobnie postępujemy z:

/ip proxy set enabled=no /ip socks set enabled=no

Część urządzeń MikroTik posiada wbudowane wyświetlacze LCD. Jeżeli nie kontrolujemy fizycznego dostępu do routera (przestrzenie współdzielone) lub nie korzystamy z tej funkcjonalności, należy się zastanowić nad wyłączeniem wyświetlacza:

/lcd set enabled=no

Dostęp z zewnątrz do routera

Możliwość kontrolowania routera z zewnątrz powinna zostać szczegółowo zaplanowana i możliwie ograniczona. Dobrą praktyką jest zablokowanie łączenia się bezpośrednio z zewnątrz sieci do naszego routera. Mechanizmami, które zwiększą nasze bezpieczeństwo są technologie VPN oraz odpowiednie reguły firewalla.

Opcja 1 – dostęp tylko ze znanych adresów IP (gdy mamy stały adres IP)

/ip firewall filter add chain=input comment=”Accept Established, Related” connection- state=established,related action=accept

/ip firewall filter add chain=input src-address=45.32.154.212 action=accept

/ip firewall filter add chain=input src-address=45.32.154.100 action=accept

/ip firewall filter add chain=input action=drop

Opcja 2 – dostęp tylko z VPN (możemy łączyć się z różnych adresów IP)

Przed zalogowaniem się do routera należy wcześniej nawiązać połączenie VPN.

/ip firewall filter add chain=input comment=”Accept Established, Related” connection- state=established,related action=accept

/ip firewall filter add chain=input comment=”SSTP VPN” protocol=tcp dst-port=443 action=accept

/ip firewall filter add chain=input src-address=172.16.10.0/24 action=accept

/ip firewall filter add chain=input action=drop

Opcja 3 – port knocking (możemy łączyć się z różnych adresów IP)

Mechanizm port knocking polega na dynamicznym modyfikowaniu reguł dostępowych firewalla w przypadku, gdy nastąpiła określona akcja. Aby móc zalogować się za pomocą winboxa, należy wcześniej wykonać dodatkowe czynności, np. podjąć próbę komunikacji z routerem na port 2133/tcp, a następnie 7117/tcp. Po wykonaniu tej sekwencji, router doda nasz adres IP do odpowiedniej listy adresów, która będzie miała dostęp do wcześniej zablokowanego portu winboxa.

/ip firewall filter add chain=input comment=”Accept Established, Related” connection- state=established,related action=accept

/ip firewall filter add chain=input protocol=tcp dst-port=2133 action=add-src-to-address-list address- list=port-knocking-stage1 address-list-timeout=00:01:00

/ip firewall filter add chain=input protocol=tcp dst-port=7117 src-address-list=port-knocking-stage1 action=add-src-to-address-list address-list=port-knocking-stage2 address-list-timeout=00:01:00

/ip firewall filter add chain=input src-address-list=port-knocking-stage2 protocol=tcp dst-port=8291 action=accept

/ip firewall filter add chain=input action=drop

Jeżeli nasz komputer wyposażony jest w narzędzie telnet, możemy zasymulować próbę połączenia na wskazane porty:

telnet adresIProutera 2133

telnet adresIProutera 7117

Dopiero teraz możemy użyć winboxa do połączenia z naszym routerem.

Uwagi

Opcjonalnie można ustawić na urządzeniu wiadomość powitalną dla każdego, kto się loguje. Tego typu informacja może zawierać notę prawną lub inny komunikat mający na celu poinformowanie intruza o fakcie, iż jego poczynania są od teraz monitorowane.

/system note set show-at-login=yes

/system note set note=”Dostęp do urządzenia jest monitorowany.”

Zalecamy zbieranie zdarzeń systemowych typu Syslog, najlepiej na zewnętrznym serwerze do tego przeznaczonym. Dodatkowo, warto zastanowić się nad skorzystaniem z Netflow w celu zalogowania pakietów przychodzących do naszego routera i późniejszej analizy.

Oczywiście regularnie powinniśmy tworzyć kopie zapasowe naszej konfiguracji, pamiętając, aby nie przechowywać ich bezpośrednio na routerze.