Mikrotik

Pokud přistupujete zodpovědně ke své datové síti, jistě pravidelně kontrolujete dostupné aktualizace a bezpečnostní opravy a monitorujete dostupnost jednotlivých prvků v síti. Kontrolujete ale také pravidelně log v routeru, zda se někdo náhodou nepokouší vloupat se do Vaší sítě? Monitoring log zpráv je přitom klíčový ke včasnému odhalení nekalého chování jak z internetu, tak z lokální sítě. V základním nastavení má log Mikrotik routeru pouze 1000 řádků a kompletně se maže po restartu. Při vyšším zatížení routeru není efektivní pročítat log zprávy ručně a hledat záznamy o útocích.

Externí syslog

Mikrotik umožňuje posílat log zprávy na externí syslog server. Díky tomu odpadá limit historie zpráv v rámci routeru a přináší řadu výhod v podobě automatických upozornění apod. Jak nastavit externí logování?

Ve winboxu přejděte do nastavení System – Logging a nastavte remote logging na IP adresu a port, kde máte svůj externí syslog

Graylog

Pro monitoring logů lze použít např open-source Graylog. Jedná se o robustní řešení, které poskytuje úžasnou flexibilitu v zobrazování a filtrování zpráv. Díky tomu Vám neunikne žádný pokus o proniknutí do routeru.

Na předem definované události lze nastavit automatický trigger, který mi pošle na Slack zprávu o incidentu, což zkracuje reakční dobu správce sítě v případě, že je systém pod útokem.

POTŘEBUJETE IT SUPPORT?

Raději byste pustili IT problémy za hlavu? Netrapte se s nastavováním pokus-omyl, nechte si Vaši síť spravovat odborně. Kontakt

Klasický firewall klasicky chrání Vaši síť proti útokům z veřejných sítí směrem do lokální sítě. Není ale výjimkou, že se některý z uživatelů nainstaluje do svého počítače software, který obsahuje malware. Tento škodlivý sw se často snaží najít v síti vhodný cíl (router, kameru, IoT produkty,…) které mohou mít slabé nebo tovární heslo. Pokud takovéto zařízení nalezne, většinou do něho nahraje svůj kód a tím získá možnost provádět další útoky v síti bez závislosti na původním napadeném PC.

Příklad útoku

Na obrázku níže je vidět SSH brute-force útok, kdy se napadený PC (uživatel stáhnul zdánlivě neškodný program zdarma pro ripování CD) snaží uhádnout SSH přístup do Mikrotik routeru.

Vzhledem k tomu, že se na síti nacházelo více zařízení (kamery, IP telefony atp), lze předpokládat, že tento útok byl veden i na ostatní HW. Díky tomu, že se jedná o námi spravovanou síť, všechna hesla jsou velmi silná a tudíž nedošlo k proniknutí do žádného síťového prvku.

Automatická blokace napadeného PC

Přestože se většina firewall pravidel aplikuje ve směru z veřejného internetu, není od věci monitorovat podezřelá chování i ve vnitřní síti. Pro detekci a blokaci SSH brute-force útoků lze aplikovat jednoduché firewall pravidlo:

/ip firewall filter
add action=drop chain=forward comment=“drop ssh brute forcers“ log=yes log-prefix=“SSH_ATTACKER“ src-address-list=ssh_blacklist
add action=drop chain=input comment=“drop ssh brute forcers“ log=yes log-prefix=“SSH_ATTACKER“ src-address-list=ssh_blacklist
add action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=1w3d chain=input connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage3
add action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=10m chain=input connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage2
add action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=10m chain=input connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage1
add action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=10m chain=input connection-state=new dst-port=22 protocol=tcp

Pokud se jakékoliv zařízení pokusí 3x neúspěšně přihlásit do routeru, dojde k jeho odpojení od internetu na 10 dní. V případě napadeného PC tedy okamžitě zjistíte, že je něco v nepořádku. Zároveň, pokud máte nastaven pořádný monitoring, měli byste automaticky zaregistrovat útok již v jeho počátcích.

POTŘEBUJETE POMOC?

Raději byste pustili IT problémy za hlavu? Netrapte se s nastavováním pokus-omyl, nechte si Vaši síť spravovat odborně. Kontakt

Spolehlivost datových sítí je v dnešní digitální době klíčová. Noční můra správců sítě je situace, kdy začnou uživatelé hlásit náhodné problémy s funkčností připojení. Vše se tváří v pořádku, zařízení připojení do sítě, jen „windows hlásí vykřičník na ikoně připojení“. Po chvíli se ale jakoby problém vyřeší sám a vše zase funguje. Co jen se v síti asi děje?

Prošel jsem mnoho firemních sítí a viděl hotely i školy s velmi zranitelnou sítí. Jedním z „útoků“ na síť může být totiž nevinné připojení vlastního routeru některého ze zaměstnanců např. pro domnělé zlepšení pokrytí WiFi. Pokud je síť navržena bez hlubších znalostech o IT bezpečnosti, snadno se stane, že nesprávně nakonfigurovaný WiFi router způsobí nahodilé výpadky ostatním připojeným zařízením. Viděl jsem firmu, kde brigádník vyřadil celou výrobu pouze tím, že připojil kabel do špatné datové zásuvky. Co se stalo? Testoval zařízení, které mělo na svém portu (pro účely jednodušší konfigurace) v továrním nastavení DHCP server. Tato, jindy nevinná, vlastnost v kombinaci se špatně navrženou sítí vede vždy k vážným problémům.

Co dělá DHCP server?

DHCP server slouží zjednodušeně k automatickému přiřazení IP adresy zařízením v síti. Kromě IP adresy ještě připojeným zařízením sděluje tzv Default GW (adresa brány), což není nic jiného než informace, kudy se jde ven mimo lokální síť – tedy i do internetu. Jakmile se zařízení připojí do sítě (nebo při vypršení doby zapůjčení adresy) posílá toto zařízení tzv DHCP request. To je zpráva, která nemá jasného adresáta a jde v podstatě na všechna zařízení v síti. Pokud je v síti více než jeden DHCP server, připojené zařízení vezme informace od toho, kdo mu odpoví první.

Proč nechceme v síti cizí DHCP?

Možnost připojit do volného portu svůj DHCP server přináší závažná bezpečnostní rizika. Jak jsme si řekli výše, to „nejmenší“ co se může stát je fakt, že někomu nepůjde internet. Horší je ale situace, kdy toto někdo udělá cíleně za účelem způsobit škodu. Pokud totiž nainstaluji svůj router s DHCP, poběží komunikace od „poškozených“ zařízení právě přes tento router. Díky tomu lze jednoduše sledovat datový tok, manipulovat s obsahem, zjišťovat citlivá data atp.

Jak zabezpečit svoji síť?

Obrana proti nevyžádanému DHCP serveru není tak složitá ani drahá, jak by se možná mohlo zdát. Důležité je nepoužívat obyčejné switche, ale kvalitní switche s podporou DHCP snooping. Jedná se o funkci, která detekuje DHCP zprávy na jednotlivých portech a zahazuje ty, které přicházejí z tzv „unterusted“ tedy nedůvěryhodných portů. Díky tomu zajistíte alespoň základní obranu proti těmto nejjednodušším útokům. Tuto funkci mají např všechny produkty od Mikrotiku. Po správné konfiguraci lze vidět blokované DHCP v logu:

Vyřešte svoji síť komplexně

Říká se, že nezálohuje ten, kdo ještě nepřišel o data a bezpečnost neřeší jen ten, kdo žije v minulém století. Doba jde rychle dopředu a v IT platí dvojnásob. Správná konfigurace datové sítě ale může pro méně zkušené uživatele znamenat velký oříšek. Netrapte se s nastavováním pokus-omyl, nechte si síť odborně navrhnout a nakonfigurovat nebo rovnou spravovat.