Yönlendiriciler özellikle dış dünya veya farklı lokasyonlarda bulunan ağlarla irtibatlı olan bilgisayar ağlarında altyapının iskelet öğlerinden biridir. Çoğu zaman sorun yaşandığında başına oturulan bu cihazlar genellikle diğer Bilgi Sistemi varlıkları kadar önemsenmemekte güvenliğinin sağlanması konusu gözardı edilmektedir. Diğer taraftan basit bazı önlemler alarak yönlendiricileri pek çok saldırıdan korumak mümkündür. Aşağıda, yönlendiricinizin güvenliğini artırmak için gerekli olan bazı basit adımlardan bahsedilecektir.
Yönlendiricinizin işletim sisteminin güncel olup
olmadığını kontrol edin. Saldırganlar, saldırılarının önemli bir
kısmını işletim sistemlerinin açıklıklarından faydalanarak
gerçekleştirmektedirler. Dolayısıyla yönlendiricinizin işletim
sisteminin güncel olması oldukça önemlidir.
Düzenli olarak yönlendiricinizin konfigürasyonunun
yedeğini alın ve konfigürasyon dosyalarını herkesin erişemeyeceği ama
sizin, gerektiğinde kolaylıkla erişebileceğiniz güvenli bir yerde
saklayın. Yönlendiricinizin konfigürasyonunda meydana gelebilecek bir
problem durumunda bir önceki çalışan konfigürasyona hızlı bir şekilde
dönebilmek için yönlendiricinizin konfigürasyonun yedeğinin doğru bir
şekilde alınmış olması ve sadece yetkili kişilerin kolayca
erişebileceği güvenli bir yerde tutulması gereklidir.
Yönlendiricininizin konfigürasyonunu satır satır
dökümante edin. Kurumunuza/firmanıza has bazı özel satırlar varsa
bunları da hazırlayacağınız dökümana ekleyin. Kurumdan/firmadan
ayrıldığınız zaman sizden sonra yönlendiriciyi yönetecek kişinin ya da
kişilerin zorluk çekmeden konfigürasyonu anlayabilmesi dolayısıyla
sistemi daha kolay yönetebilmeleri için bu çok gerekli fakat maalesef
genellikle de ihmal edilen bir konudur.
Yönlendiricinize erişme yetkisi olan her bir kişi için
farklı kullanıcı isim ve şifreleri tanımlayın. Ortak kullanıcı isim ve
şifreleri kullanmayın. Böylece herhangi bir güvenlik ihlali olayı
zamanında sorumluluk insanlar arasında paylaştırılmamış olur.
Yönlendiricinize erişecek her bir kişi için farklı kullanıcı isim ve
şifreleri tanımlayın ve bunların erişim kayıtlarını tutun.
Yönlendiriciniz üzerinde sizin bilmediğiniz veya öntanımlı kullanıcı
isimleri varsa bunları kesinlikle silin. Sadece erişim yetkisi olan
kişilerin yönlendiricinize girebileceklerinden emin olun. İşten ayrılan
kullanıcıların, kullanıcı isim ve şifrelerini silmeyi unutmayın.
Düzenli olarak kullanıcı isim ve şifrelerini gözden geçirin.
Yönlendiriciye erişirken kullanılan kullanıcı şifrelerinin zor tahmin edilir olmasına dikkat edin. Günümüzde insanların şifre kullandıkları çok fazla alan
olduğu için şifreler genellikle kolay tahmin edilebilir ve bundan
dolayı da kısa olmaktadır. Ayrıca bu şifreler çok nadiren
değiştirilmektedir. (Birçoğu da hiç değiştirilmemektedir.)
Yönlendiriciye yapacağınız erişim şifrenizin kolay tahmin edilebilir
olmamasına dikkat edin. Kendi kişisel hayatınızı, çalıştığınız
kurumu/firmayı, çalıştığınız birimi, vb. çağrıştıracak kelime
kombinasyonlarını kullanmaktan kaçının. Şifrenizin en az on karakterden
oluşmasına ve büyük-küçük harf kombinasyonlarıyla, özel karakterler ( !
+ $ % & gibi) içermesine dikkat edin. Yönlendiricininizin güvenliği
için şifrenizi biraz uzun tutmak suretiyle yönlendiricinize iki-üç
saniye daha geç girmeyi göze alın. Bunu bir zaman kaybı olarak
görmeyin. Yönlendirici şifreleri genellikle değiştirilmemektedir. İlk
gün girildiği gibi kalmaktadır. Belirli periyotlarla yönlendirici
şifrenizi değiştirin.
Yönlendiriciye yapacağınız erişimler için RADIUS veya
TACACS sunucular kullanın. Hatta kimlik doğrulaması için aktif
dizininizdeki kullanıcı veri tabanını bile kullanabilirsiniz.
Yönlendiricinizin lokalinde yer alan kullanıcı isim ve şifrelerini
kullanmamaya çalışın.
Yönlendiricinize yapılacak olan konsol ve telnet/SSH
erişimlerini sınırlandırın. Sadece yetkisi olan kişilere konsol ve
telnet/ssh erişim yetkisi verin. Mümkünse telnet protokolünü
kullanmayın, SSH kullanın. Yönlendiriciniz; giriş-çıkışların kontrollü
olduğu, sadece belirli kişilerin girebildiği kilitli bir ortamda
bulunuyor olsa bile yönlendiricinize konsol şifresi tanımlayın. Konsol
şifresi tanımlamak oldukça kolay bir iştir. Bundan kaçınmayın.
Yönlendiricinizin üzerinde AUX portu varsa ve kullanılmıyorsa bu porta
yapılacak olan erişimleri de iptal edin.
Yönlendiricinizin üzerinde çalışan gereksiz servisleri
kapatın. Bu servislerin birçoğu ön tanımlı olarak kapalı gelmektedir
ama yine de bu servislerin kapalı olduğuna emin olun. Bu servislerden
bazılarının açık olmasının çok fazla bir güvenlik riski olmasa da
konfigürasyon dosyanıza bir satır eklemekten kaçınmayın ve bu
servisleri kapatın.
Gereksiz servisler:
service tcp-small-servers
service udp-small-servers
service finger
ip source-route
service pad
service config
ip identd
ip bootp server
cdp run
service config
Arayüzlerdeki gereksiz servisler:
ip proxy-arp
ip directed-broadcast
ip unreachables
ip mask-reply
ip redirects
ip mroute-cache
Kullanmadığınız arayüzleri kesinlikle kapatın. Açık
arayüzler saldırı olasılığının olduğu açık kapılar gibidir. Saldırı
olasılığını azaltın. Kapalı bir arayüzden saldırı yapılma olasılığı
oldukça düşüktür.
Aşağıda verilmiş olan; özel kullanım için ayrılmış ve
uygun olmayan IP bloklarından gelebilecek paketlerin yönlendiricinize
girmesini erişim kontrol listeleriyle engelleyin.
Yönlendiricinizin kayıt tutma özelliğini aktif hale
getirin. Yönlendiricinizin tuttuğu kayıtları uzak bir sunucuya
göndermesini sağlayın. Kayıtların bu sunucuda güvenli bir şekilde
tutulduğuna emin olun. Tutulan bu kayıtların tarih ve saat bilgisi çok
önemlidir. Yönlendiricinizin tarih ve saat bilgisinin doğru olduğuna
emin olun. Gerekli güvenlik önlemlerini almak şartıyla
yönlendiricinizin zaman bilgisini bir NTP sunucusundan almasını
sağlayın. Aksi takdirde yönlendiricinizin kayıt tutmasının bir anlamı
olmayacaktır. Zaman bilgisi yanlışsa yönlendiricinizi ve kendinizi boş
yere kayıtları tutmakla yormayın.
SNMP’yi kullanmıyorsanız KESİNLİKLE iptal edin. SNMP
kullanıyorsanız da “snmp community” okuma (read-only) ve okuma-yazma
(read-write) değerlerine, öntanımlı olarak gelen “public” ve “private”
değerlerinden farklı değerler verin. Bu değerlerin kurumunuz/firmanız
hakkında bilgi içermemesine dikkat edin. Yönlendiricinizi ilk elinize
aldığınızda yapacağınız işlemlerden birisi SNMP’yi iptal etmek veya
“snmp community” değerlerini değiştirmek olsun.
