안녕하세요.
이번 연휴를 보내고 출근하니 사무실 인터넷이 이상해서 원인을 찾아보니 mikrotik 라우터 장비가 해킹을 당했네요.
특별히 열어 놓은 서비스는 없었는데 기본 api, api-ssl, ssh 이렇게 3가지만 enable 상태였는데요.
누군가 들어와서 방화벽 룰을 추가하고 이상한 처리를 해놓았네요.
찾아보니 최근에 보안이슈가 있었던것 같은데 패치를 하려면 winbox 버전 최신으로 다운 받아서 쓰고
라우터 os를 최신 버전으로 업그레이드 하면 되는걸까요?
아니면 별도의 작업을 추가로 해줘야 할까요?
아.. 간만에 스트레스 받네요 ㅠㅠ
다음으로 패스워드를 반드시 변경해주시고(내부 사용자DB를 털어가는 해킹이슈), RouterOS 최신버전으로 업데이트 해주세요.
SSH 서버스는 접속가능 IP를 설정해주시던가, port-knocking 을 적용해주시면 보다 안전합니다.
WinBox는 Tools 메뉴에 Check for update 항목으로 업데이트 하면 됩니다.
스케줄러나 스크립트 자체는 추가된건 보이지는 않더라고요
port knocking이라는게 방화벽에 설정을 해놓고 해당 ip가 맞게 접근을 하면 열어주는 방식 같은데
이게 실제로 input chain에 적용을 하면 내부 망의 pc들은 사용하는데 문제가 없을까요?
내부 pc들은 사설 ip 대역을 쓰고 masquerading되어있는 상태이거든요.
포트 바꾸고 지정 IP 대역대 활성화가 아니라면 기본적으로 Disable 처리 하시는게 좋습니다.
miktroik의 경우 상용 장비라 해킹 시도 빈번하게 들어옵니다 ㅠ.ㅠ
스케줄러와 방화벽, 웹프록시를 만져두고 갔습니다.
기존 스케줄러를 다 지워놨네요. 이런...
이것만 아니여도 갠춘하지않을까.. 싶어서 그냥 방심한채로 있는데
아니려나요 ㄷㄷㄷ
리눅스 서버라면 fail2ban 같은걸 설치해두면 되지만, 미크로틱에서는 불가하므로..