روتر لبه شبکه، اولین نقطه تماس اینترنت با زیرساخت شماست. یک روتر با پیکربندی پیش‌فرض می‌تواند به عضوی از بات‌نت، ابزار شنود یا دروازه نفوذ به شبکه داخلی تبدیل شود. این چک‌لیست بر اساس تجربه ما در پروژه‌های ISP تهیه شده است.
۱. به‌روزرسانی RouterOS و Firmware
بسیاری از حملات گسترده به MikroTik از آسیب‌پذیری‌هایی استفاده کرده‌اند که مدت‌ها قبل وصله شده بودند. کانال stable یا long-term را انتخاب و به‌روزرسانی را برنامه‌ریزی کنید.
/system package update check-for-updates
/system package update install
/system routerboard upgrade۲. حساب‌های کاربری
- کاربر پیش‌فرض
adminرا غیرفعال یا تغییر نام دهید. - برای هر مدیر یک حساب جدا با گذرواژه قوی بسازید.
- برای اتصال نرم‌افزارها (مثل CRM) کاربر API اختصاصی با گروه محدود تعریف کنید.
/user group add name=api-crm policy=read,write,api,!ftp,!ssh,!winbox,!web
/user add name=crm-api group=api-crm address=10.10.0.5/32۳. سرویس‌های مدیریتی
سرویس‌های بلااستفاده را خاموش و بقیه را به IPهای مدیریتی محدود کنید.
/ip service disable telnet,ftp,www,api
/ip service set ssh address=10.10.0.0/24
/ip service set winbox address=10.10.0.0/24
/ip service set api-ssl address=10.10.0.5/32 certificate=api-certاگر نرم‌افزاری از راه دور به API روتر متصل می‌شود، از api-ssl با گواهی استفاده کنید و هرگز API ساده را روی اینترنت باز نگذارید.
۴. فایروال ورودی (Input Chain)
/ip firewall filter
add chain=input connection-state=established,related action=accept
add chain=input connection-state=invalid action=drop
add chain=input protocol=icmp action=accept
add chain=input src-address-list=mgmt action=accept
add chain=input in-interface-list=WAN action=drop comment="drop all else from WAN"۵. سرویس‌های کشف و DNS
- Neighbor Discovery و MAC Server را روی رابط WAN غیرفعال کنید.
- اگر روتر DNS Resolver عمومی نیست،
allow-remote-requestsرا خاموش کنید یا درخواست‌های DNS از WAN را مسدود کنید تا در حملات تقویت DNS سوءاستفاده نشود.
/ip neighbor discovery-settings set discover-interface-list=LAN
/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN۶. ثبت رویداد و پشتیبان
- لاگ‌ها را به یک سرور Syslog مرکزی بفرستید.
- از پیکربندی به‌صورت منظم Export و Backup رمزگذاری‌شده بگیرید.
- زمان روتر را با NTP همگام کنید تا لاگ‌ها قابل‌استناد باشند.
۷. بازبینی دوره‌ای
هر ماه کاربران، اسکریپت‌های Scheduler، قوانین فایروال و Proxyها را بازبینی کنید؛ مهاجمان اغلب با یک اسکریپت زمان‌بندی‌شده یا یک کاربر پنهان در روتر باقی می‌مانند.
امنیت روتر یک کار یک‌باره نیست؛ یک فرایند مستمر است.
