По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Последние два года выдались для роутеров MikroTik нелегкими. Они подвергались сканированию, уводились в ботнеты, майнили крипту без ведома хозяев и почти всё это стало возможным благодаря всего одной уязвимости в сервисе www, а точнее – незащищённому открытому 80 порту. (Используется для настройки роутера через web интерфейс)
Мы беспокоимся о своих читателях, поэтому хотим ещё раз предупредить всех обладателей роутеров MikroTik о данной проблеме.
Впервые, информация о том, что в роутерах MikroTik присутствует критическая уязвимость, позволяющая злоумышленнику исполнить произвольный код в случае успешной эксплуатации, появилась на весьма специфичном ресурсе – WikiLeaks, в рамках серии публикаций об средствах, которыми пользуется ЦРУ для взлома электронных девайсов, под названием Vault 7. Эксплоит получил название Chimay Red, точно также называется одно бельгийское пиво, вкусное или нет - не знаем.
Итак, давайте знакомиться – Chimay Red, cheers, друзья!
Вот лишь некоторый список того, на что способен данный эксплойт:
Удаленно выполнить код, в командной строке роутера. Например, перезагрузить устройство без Вашего ведома;
Извлекать пользовательские логины и пароли;
На моделях роутеров с жидкокристаллическим экраном, можно вывести на него какое-нибудь сообщение;
Скрыть все логи устройства;
И даже - заставить роутер играть какую-нибудь монофоническую мелодию. Например, из Super Mario :)
Согласитесь, не очень приятно знать, что кто-то может заставить Ваш роутер "петь" Super Mario.
В общем, для тех, кто не хочет читать дальше сообщаем - MikroTik выпустил прошивки чтобы закрыть эту уязвимость, поэтому если версия RouterOS у Вас ниже 6.37.5 или 6.38.5, то срочно обновитесь!
А мы продолжаем. Благодаря уязвимости Chimay Red, позже стало возможным создание вредоносных инструментов для проведения ряда атак.
VPNfilter
Вредонос, который обнаружило подразделение кибербезопасности Cisco Talos. Помимо роутеров MikroTik, данный вредонос бил и по другим устройствам класса SOHO. Сначала было непонятно, как вредоносные файлы загружались на роутеры MikroTik, однако позже выяснилось, что всему виной может быть уязвимость в сервисе www.
Несмотря на то, что вредонос получил название VPNfilter, ничего общего с технологией VPN он не имеет.
Что умеет VPNfilter:
Подслушивать ваш трафик;
Внедрять вредоносный контент в трафик, проходящий через роутер, и, с помощью этого, устанавливать вредоносное ПО на подключенные устройства;
Тупо выводить роутер из строя;
Извлекать пользовательские пароли и другую чувствительную информацию;
Устанавливать соединения в анонимные сети TOR к командному серверу и делать роутер частью ботнет сети.
Как понять, что Ваше устройство инфицировано:
Ваш роутер устанавливает неидентифицированные соединения по управляющим портам ко внешним неизвестным ресурсам;
Проверить можно на вкладке IP → Firewall → Connections. Там не должно быть соединений от вашего роутера к публичным IP адресам по портам удаленного администрирования, о которых Вы не знаете.
Допустим, внешний адрес Вашего роутера – 91.191.191.91
На Вашем роутере появились следующие директории:
var/run/vpnfilterm
/var/run/vpnfilterw
var/run/torr
var/run/tord
Ваш роутер самопроизвольно отключается, перезагружается, появляются изменения конфигурации, которые Вы не вносили
Как защитить устройство от вредоноса или удалить его, если оно уже заражено:
Итак, если Вы давно не обновлялись и используете старую версию RouterOS, а также у вас открыт доступ по 80 порту из Интернета, то ваше устройство может быть заражено.
Перезагрузить устройство. Однако, данная мера может не помочь, т.к вредонос способен "пережить" перезагрузку. Так что надёжнее будет сделать сброс к заводским настройкам. Предварительно, сохраните конфигурацию устройства
Обновить версию RouterOS на выпущенную после марта 2017 года. Исправления появились в 6.38.5, 6.37.5. Рекомендуется установить последнюю актуальную версию и патчи для Вашего устройства
Сменить пароль, особенно на встроенных профилях (admin). По возможности, отключите устройство от публичной сети, выполняя данный шаг
Настроить Firewall для сервиса www (порт 80). Лучше всего будет запретить использование данного сервиса и обращения к порту 80 из Интернета. Однако, если это невозможно, то необходимо разрешить доступ только с доверенных адресов.
Данный вредонос поразил такое большое количество устройств и вызвал такой большой резонанс, что компания Symantec даже разработала специальный ресурс, позволяющий определить, заражён ли Ваш роутер VPN filter'ом. Инструмент может проверить Ваш роутер на наличие плагина ssler, который вредонос устанавливает на определенной стадии заражения:
Symantec
Просто перейдите по ссылке компьютера, находящегося за роутером, который Вы хотите проверить и нажмите Run VPNfilter Check.
Даже если проверка не выявит признаков заражения ssler, роутер всё равно может быть заражён другими модулями VPNfilter.
Ботнет
Немного иначе обстоят дела с другим "вредоносом", а точнее целым ботнетом - Hajime. Этот ботнет уже попадал в поле зрения исследователей, когда захватывал в свои ряды умные устройства (IoT), однако, в марте 2018 года, ботнет резко переключился на роутеры MikroTik. Это подтверждается тем, что ботнет начал сканировать рандомные подсети по 80 (www) и 8291 (WinBox) порту. Сканирование порта 8291, говорит от том, что оно направлено именно на оборудование MikroTik.
После успешной идентификации устройства, ботнет применял ряд эксплоитов, чтобы ввести его в свои ряды.
Дальше дело пока не заходило, ботнет Hajime пока не был замечен ни в массированных DDoS атаках, ни даже в рассылке спама. Есть даже предположение, что автор Hajime - это добрый хакер (white hat), который укрепляет безопасность систем. Исследователи Symantec нашли в заражённых устройствах зашифрованное сообщение именно такого содержания.
Так или иначе, ещё раз рекомендуем установить последние обновления для Ваших роутеров и регулярно следить, чтобы прошивка была актуальной.
Если Вы подозреваете, что Ваше устройство заражено или просто хотите это проверить, то предлагаем воспользоваться следующим способом.
В интернете есть множество открытых ресурсов, которые следят за вредоносной активностью в сети и ведут соответствующие записи.
Такие ресурсы как:
VirusTotal
AbusedIP
Spamhaus
IBM-X Threat
Cisco Talos
Помогут Вам определить, замечался ли Ваш публичный IP адрес во вредоносной активности.
Просто введите его в строку поиска на соответствующем ресурсе и посмотрите результат.
Данный способ актуален только если у вас статический IP адрес или, если он динамический, то Вы точно знаете когда он менялся.
От слов к делу! Заходим на Communication Manager через веб-браузер по его IP-адресу. После ввода правильных логина и пароля нас информируют об удачном входе и времени последней попытки неудачного входа с указание IP- адреса, откуда была выполнена данная попытка.
Далее выбрав пункт Administration → Server (Maintenance) мы попадаем в веб-интерфейс управления и настройки Communication Manager.
Как мы видим, тут очень много ссылок, которые позволяют проводить мониторинг работоспособности системы, диагностировать и настраивать ее. Ссылки сгруппированы по функционалу:
Alarm – Current Alarm позволяет просматривать ошибки и предупреждения, выводимые системой с указанием даты возникновения. При необходимости после ознакомления предупреждения можно удалить.
Diagnostics – в данном разделе представлен доступ для диагностики и просмотра результатов работоспособности сервера.
Restarts – выводит список историй перезагрузок сервера с указанием причин перезагрузки, даты и времени перезагрузки и статуса процесса.
System Logs – позволяет получить и просмотреть большое количество сообщений из различных журналов системы, используя настраиваемые фильтры.
Ping, Traceroute – данные утилиты позволяют проверить доступность требуемого хоста (по имени или IP-адресу) с самого сервера.
Netstat – с помощью настраиваемых фильтров позволяет получить различную информацию по подключениям самого сервера (порты, сетевые интерфейсы, статусы и так далее.)
Server – в данной группе собрана информация, касающаяся самого сервера (общий статус сервере, запущенные процессы, актуальные время и дату, версии и даты установки ПО, переключение между активным и резервным сервером в случае наличия резервного сервера)
Отдельным пунктом следует отметить пункт Shutdown Server. Данный пункт позволяет как выключить сервер, так и перегрузить его. Так как в основном подключение к серверу осуществляется удаленно, то с этим пунктом надо быть очень аккуратным, иначе придется искать физический доступ к серверу для его включения. Если перезагрузка сервера происходит НЕ в экстренном случае, то рекомендуется выполнять её с ожиданием завершения всех запущенных процессов.
Server Configuration – в данной группе собраны настройки самого сервера. Настройки в данном пункте зависят от того, как был проинсталлирован сам сервер (основной или локальный (LSP) сервер).
Server Role – если сервер был проинсталлирован как основной сервер, то указывается тип сервера (основной или выживающий (ESS)), идентификаторы системы и модуля и настройки для памяти (Small, Medium, Large)
В случае выбора при инсталляции роли локального выживающего процессора настройки роли будут другие. Тут придется указать адреса основного сервера для регистрации, сервера для синхронизации и серийный номер шлюза, где установлен данный сервер СМ.
Network Configuration – указываем сетевые настройки, такие как адреса сетевых интерфейсов, DNS-серверов, шлюзов, имена серверов и альясы к ним.
Static Routes – указываем необходимые специальные направления для отправки информации для работы сервера по сети.
Display Configuration – показывает информацию по «физическим» характеристикам сервера – память, количество и тип процессоров, размер «жестких» дисков.
Server Upgrade – раздел, посвященный проведению обновлений ПО, установленного на сервер. На «больших» серверах, есть дополнительный пункт по подготовительным шагам, который блокирует сохранение и синхронизацию данный до тех пор, пока процесс обновления не будет завершен.
Ещё одним важным пунктом является Data Backup/Restore:
Backup Now – позволяет выполнить разовое сохранение выбранных данных. Необходимо выбрать сохраняемые данные, выбрать метод сохранения (scp, ftp или sftp) и ввести учетные данные для подключения к серверу, куда будет произведено сохранение.
После заполнения всех необходимых данных нажимаем Start и ждем завершения операции.
После завершения Backup будет выведен результат:
Backup History – показывает выполненные ранее сохранения. Можно посмотреть статус по каждому представленному тут сохранению.
Schedule Backup – предназначен для настройки автоматического выполнения сохранений. Настройки такие же, как и в случае выполнения одноразового сохранения, но к ним добавляется возможность указать день недели и время для запуска сохранения. На системе, которая находится в более-менее статическом состоянии (т.е. нет больших ежедневных изменений, например, абонентской емкости) можно настроить еженедельное сохранение трансляций, а полное сохранение выполнять в ручном режиме, например, раз в месяц.
Backup Logs – показывает информацию по запущенным процессам сохранения с указанием самого процесса, даты и времени запуска, статуса выполнения и полного пути до сохраняемого файла.
View/Restore Data – позволяет восстанавливать ранее сохраненные данные. Указываются данные для подключения, как и для выполнения сохранения. После подключения предлагается выбрать необходимый бекап и выполнить восстановление.
Restore History – журнал восстановления, аналогичный журналу сохранения.
Security – раздел, посвященный безопасности. В нем создаются пользователи для управления, меняются и обнуляются пароли для существующих учетных записей, настраивается доступ к серверу, устанавливаются сертификаты безопасности и так далее.
Administrator Account – позволяет создавать, изменять пользователей с различными приоритетами, блокировать, разблокировать или удалять учетные записи.
Login Account Policy – указываются параметры для безопасного создания и использования парольного доступа такие как минимальная длина пароля, использование в пароле заглавных и строчных букв, цифр и специальных символов, количество использованных предыдущих паролей, количество символов, отличающихся в создаваемом пароле от предыдущего, время бездействия пользователя, по истечение которого будет произведен автовыход, количество неправильных попыток входа, время блокировки после неправильного ввода пароля, срок действия пароля, время напоминания об окончании действия пароля.
Change password – смена пароля для ТЕКУЩЕГО пользователя.
Login Report – позволяет получать при помощи настраиваемых фильтров различные сведения о подключенных пользователях, неудачных или удачных попыток входа, конкретной учетной записи и так далее.
Server Access – позволяет настраивать удаленный доступ к серверу. Рекомендуется выключать доступ по Telnet для обеспечения более безопасного подключения
Syslog Server – позволяет настраивать внешний Syslog сервера и делать выбор данных, отправляемых на него
Firewall – показывает текущее состояние встроенного firewall и сработок по правилам.
Дальше идут пункты, позволяющие работать с сертификатами – установка новых, просмотр уже установленных, настройка порогов для уведомления об окончании сроков действия, формирования запроса на генерацию нового сертификата и SSH ключи для проверки.
Web Access Mask – настройка профиля подключений для доступа через Web. В системе есть профили, которые имеют настройки по умолчанию для доступа и настройку сервера через web-браузер. Если создается новый профиль, то для работы через браузер этому профилю надо определить права доступа.
Miscellaneous – в данном разделе представлены остальные инструменты
File synchronization – просмотр статуса синхронизации файлов между основными и резервными серверами.
Download Files – позволяет закачивать на сервер необходимые файлы, в том числе и сертификаты для установки.
CM Phone Message File – файлы для поддержки Unicode на телефонных аппаратах.
Теперь вы знаете, как работают глобальные префиксы и подсети, а как насчет ID интерфейса? Мы еще не говорили о назначении IPv6-адресов нашим хостам. Назначение адресов хостам почти то же самое, что и для IPv4:
Адреса должны быть уникальными для каждого хост;
Вы не можете использовать префиксный адрес в качестве адреса хоста.
Ранее мы писали про основы работы протокола IPv6 (Internet Protocol version 6).
Вы можете настроить IPv6-адрес вручную вместе со шлюзом по умолчанию, DNS-сервером и т. д. или ваши хосты могут автоматически получить IPv6-адрес либо через DHCP, либо через что-то новое, называемое SLAAC (Stateless Address Autoconfiguration).
Вот пример IPv6 адресов, которые вы могли бы выбрать для топологии, которая показана выше:
Для интерфейсов роутера предлагаю использовать наименьшие числа, так как они легко запоминаются. В этом примере показан уникальный global unicast IPv6-адрес для каждого устройства.
Это все, что касается global unicast адресов, так же мы должны рассмотреть уникальные локальные одноадресные адреса.
Уникальные локальные адреса работают так же, как и частные адреса IPv4. Вы можете использовать эти адреса в своей собственной сети, если не собираетесь подключаться к Интернету или планируете использовать IPv6 NAT. Преимущество уникальных локальных адресов заключается в том, что вам не нужно регистрироваться в специализированном органе, чтобы получить дополнительные адреса.
Вы можете распознать эти адреса, потому что все они начинаются с FD в шестнадцатеричном формате. Есть еще несколько правил, которым вы должны следовать, если хотите использовать уникальные локальные адреса:
Убедитесь, что FD - это первые два шестнадцатеричных символ;
Вам нужно составить 40-битный глобальный ID, вы можете выбрать все, что вам нравится;
Добавьте 40-битный глобальный ID после "FD", чтобы создать 48-битный префикс;
Следующие 16 бит должны использоваться для подсетей
Это оставляет вам последние 64 бита для использования идентификатора интерфейса. Вот как выглядит уникальный локальный адрес:
Это дает нам уникальный локальный адрес, который мы можем использовать в наших собственных сетях. Подсети global unicast адресов или уникальных локальных адресов точно такие же, за исключением того, что на этот раз мы сами создаем префикс вместо того, чтобы провайдер назначил нам глобальный префикс. Глобальный ID может быть любым, что вам нравится, с 40 битами у вас будет 10 шестнадцатеричных символов для использования. Вы можете выбрать что-то вроде 00 0000 0001, поэтому, когда вы поставите перед ним "FD", у вас будет префикс FD00:0000:0001::/48. Вы можете удалить некоторые нули и сделать этот префикс короче, он будет выглядеть так: FD00:0:1:: / 48
Теперь вы можете добавить различные значения за префиксом, чтобы сделать уникальные подсети:
FD00:0:1:0000::/6;
FD00:0:1:0001::/6;
FD00:0:1:0002::/6;
FD00:0:1:0003::/6;
FD00:0:1:0004::/6;
FD00:0:1:0005::/6;
FD00:0:1:0006::/6;
FD00:0:1:0007::/6;
FD00:0:1:0008::/6;
FD00:0:1:0009::/6;
FD00:0:1:000A::/6;
FD00:0:1:000B::/6;
FD00:0:1:000C::/6;
FD00:0:1:000D::/6;
FD00:0:1:000E::/6;
FD00:0:1:000F::/6;
FD00:0:1:0010::/6;
FD00:0:1:0011::/6;
FD00:0:1:0012::/6;
FD00:0:1:0013::/6;
FD00:0:1:0014::/6;
И так далее.
Когда вы выполняете лабораторные работы, можно использовать простой глобальный ID. В конечном итоге вы получите короткий и простой в запоминании префикс. Для производственных сетей лучше использовать глобальный ID, чтобы он был действительно уникальным. Возможно, однажды вы захотите подключить свою сеть к другой сети, или, возможно, вам придется объединить сети. Когда обе сети имеют один и тот же глобальный идентификатор, вам придется изменить IPv6-адрес для объединённой сети. В случае, если глобальные идентификаторы отличаются, Вы можете просто объединить их без каких-либо проблем.
Настройка на маршрутизаторе
В оставшейся части этой статьи мы рассмотрим, как можно настроить IPv6 на наших роутерах. Если вы хотите настроить IPv6 адрес на роутере у вас есть два варианта:
Вручную настроить 128-битный IPv6-адрес;
Использовать EUI-64;
Сначала я покажу вам, как вручную настроить IPv6-адрес, а затем объясню, что такое EUI-64. Вот что необходимо выполнить:
OFF1(config)#interface fastEthernet 0/0
OFF1(config-if)#ipv6 address 2001:1234:5678:abcd::1/64
Вам нужно использовать команду ipv6 address, а затем вы можете ввести адрес IPv6. Префикс, который я использую, - это 2001:1234:5678:abcd, и этот роутер будет иметь в качестве своего адреса "хоста" "1". Если хотите Вы также можете ввести полный IPv6-адрес:
OFF1(config)#interface fastEthernet 0/0
OFF1(config-if)#ipv6 address 2001:1234:5678:abcd:0000:0000:0000:0001/64
Эта команда будет иметь точно такой же результат, что и команда, введенная ранее. Мы можем проверить подсеть и IPv6-адрес следующим образом:
OFF1#show ipv6 interface fa0/0
FastEthernet0/0 is up, line protocol is up
IPv6 is enabled, link-local address is FE80::C000:18FF:FE5C:0
No Virtual link-local address(es):
Global unicast address(es):
2001:1234:5678:ABCD::1, subnet is 2001:1234:5678:ABCD::/64
Данный вывод информации отображает global unicast адрес и нашу подсеть. Есть еще одна важная вещь, когда мы настраиваем IPv6 на роутере. По умолчанию роутер не будет пересылать никакие пакеты IPv6 и не будет создавать таблицу маршрутизации. Чтобы включить "обработку" пакетов IPv6, нам нужно включить его:
OFF1(config)#ipv6 unicast-routing
Большинство команд "ip" будут работать, просто попробуйте "ipv6" вместо этого и посмотрите, что он делает:
OFF1#show ipv6 interface brief
FastEthernet0/0 [up/up]
FE80::C000:18FF:FE5C:0
2001:1234:5678:ABCD::1
OFF1#show ipv6 route connected
IPv6 Routing Table - 3 entries
Codes: C - Connected, L - Local, S - Static, R - RIP, B - BGP
U - Per-user Static route, M - MIPv6
I1 - ISIS L1, I2 - ISIS L2, IA - ISIS interarea, IS - ISIS summary
O - OSPF intra, OI - OSPF inter, OE1 - OSPF ext 1, OE2 - OSPF ext 2
ON1 - OSPF NSSA ext 1, ON2 - OSPF NSSA ext 2
D - EIGRP, EX - EIGRP external
C 2001:1234:5678:ABCD::/64 [0/0]
via ::, FastEthernet0/0
Теперь вы знаете, как настроить IPv6-адрес вручную и как его проверить. После, почитайте о том, как настроить IPv6 с EUI-64 на Cisco.