O acesso aos equipamentos da rede deve ser feito de forma segura seguindo os seguintes procedimentos básicos:

• Não utilize protocolos inseguros, como Telnet, FTP, HTTP, MAC-Telnet ou Winbox, desative-os se não estiverem operando. Se esse for o único meio de acesso à máquina, restrinja o alcance para somente ser acessada pela interface de gerência, uma rede separada e protegida.
• Utilize preferencialmente protocolos com suporte a mensagens criptografadas: SSH, HTTPS, SFTP ou Winbox no secure mode, na última versão estável disponível. Para o SSH, utilize a versão 2 com strong crypto.
• Utilize uma mensagem de login como: “Roteador pertencente a empresa X, acessos não autorizados serão monitorados, investigados e entregues às autoridades responsáveis”. Existem governos que exigem essas mensagens para o âmbito legal.
• Mude a porta padrão do serviço. Essa medida é eficaz contra um ataque simples que faz varreduras por portas padrão.
• Armazene os registros sobre as ações realizadas na rede para finalidade de auditoria. Esses registros ajudam a identificar comandos indevidos na rede.
• Armazene o registro de tentativas de acesso. Essa medida ajuda a identificar ataques de força bruta, de negação de serviço e de tentativa de roubo de informações.
• Crie políticas de mitigação de ataques com filtros e rotas blackhole.
• Utilize a hora legal brasileira, sincronizando a rede com o NTP.br.
• Não permita acesso por todas interfaces dos equipamentos.
• Escolha uma interface de loopback para os seus serviços e faça essa interface ser parte da sua rede de gerência. Essas interfaces são mais estáveis, não sofrem com variações no link e caso uma interface física fique indisponível, os protocolos de roteamento procuram um novo caminho.
• Force o logout depois de um tempo de inatividade. Isso evita que alguém use sua máquina em sua ausência e que um atacante monitore o tempo de inatividade para tomar controle da máquina.
• Force o logout depois de desconectar o cabo. Isso evita que alguém reconecte o cabo e use o seu login.

Como uma ação avançada desejável, habilite a função Port Knocking nos equipamentos de acesso à rede.

Port Knocking é um método para abrir portas externamente em um firewall, gerando tentativas de conexão em portas fechadas em uma sequência pré-estabelecida. Uma vez que a sequência correta é reconhecida, as regras do firewall são alteradas dinamicamente para permitir que a máquina que enviou as tentativas de conexão seja conectada à porta específica.

Nenhuma porta aparecerá aberta aos ataques de scan, diminuindo a superfície de ataques.

Como requisitos de sistema, é recomendado basicamente:

• Desativar todas as interfaces não utilizadas, ou seja, interfaces que não possuem cabos conectados.
• Desativar todos os serviços não utilizados, inseguros e que podem ser utilizados para ataques de amplificação, como testadores de banda (quando não estiverem em uso), DNS recursivo e Servidor NTP.
• Remover ou desativar os pacotes de funções extras não utilizados, como por exemplo pacote wireless do dispositivo.
• Desabilitar os protocolos de descoberta de vizinhança, como CDP, MNDP e LLDP, que facilitam a descoberta do tipo do seu roteador e inunda a rede com mensagens desnecessárias. Tome cuidado com o IPv6, já que a descoberta de vizinhança é essencial nessa versão do protocolo IP: sem ela, nada funciona.
• Manter o sistema sempre atualizado na versão mais recente e estável.
• Aplicar todos os patches de segurança.
• Procurar testar as atualizações, antes de aplicá-las em produção, num ambiente controlado.