R-Ciber, o que o provedor precisa fazer: checklist para provedores
R-Ciber o que o provedor precisa fazer: inventariar equipamentos e acessos, trocar a senha padrão das ONUs e roteadores, dar a cada técnico um usuário próprio, fechar a gerência para a internet e ter um roteiro de incidentes. Tudo isso precisa deixar evidência guardada, e o alcance exato de cada medida depende do porte [CONFIRMAR na norma].
Resumo
- A ordem importa, e o inventário vem antes de qualquer troca de senha, porque não se protege o que não se conhece.
- As senhas padrão das ONUs são a frente com prazo noticiado, e a troca em massa sai pela OLT ou pelo ACS.
- Login compartilhado e gerência aberta para a internet são as falhas mais comuns na rede do próprio provedor.
- Sem um registro de incidentes e uma pasta de provas, a adequação feita não aparece para quem fiscaliza.
R-Ciber: o que o provedor precisa fazer, em ordem de prioridade
O provedor precisa seguir cinco frentes, nesta ordem: inventário, senhas dos equipamentos de assinante, acessos à gerência, incidentes e documentação. A ordem segue o risco e o prazo, não a facilidade de cada tarefa.
Quem ainda não sabe o que é o regulamento pode começar pelo guia sobre o que é R-Ciber. Aqui o foco é o trabalho em si: o que fazer na segunda-feira de manhã, com a equipe que o provedor já tem.
Frente 1
Inventário
Modelos de ONU e roteador, equipamentos de rede, contas de acesso e terceiros com login.
Frente 2
Senhas de assinante
Senha padrão trocada por senha única em cada equipamento, aplicada em lotes.
Frente 3
Acesso à gerência
Um usuário por pessoa, autenticação central e gerência aberta só para endereços autorizados.
Frente 4
Incidentes
Roteiro para detectar, conter, registrar e avaliar a comunicação à agência.
Frente 5
Pasta de provas
Relatórios, listas e registros com data, organizados por obrigação.
As frentes 2 e 3 podem andar juntas quando há duas pessoas na equipe. A frente 5 começa no primeiro dia, porque cada etapa já gera evidência [CONFIRMAR na norma].
A adequação ao R-Ciber segue essa mesma sequência e assume as frentes que a equipe da casa não consegue tocar sem parar a operação.
O que o provedor precisa fazer primeiro no R-Ciber se nada foi feito?
Comece testando, em poucas ONUs de cada modelo, se a senha de fábrica ainda abre o painel. Esse teste leva minutos e mostra de imediato o tamanho da frente com prazo noticiado [CONFIRMAR na norma].
O que o provedor precisa levantar antes de mexer na rede
Antes de trocar qualquer senha, o provedor precisa saber quais equipamentos tem, como eles são gerenciados e quem acessa cada um. Esse levantamento define o caminho de cada frente seguinte.
| Item | De onde tirar | Por que importa |
|---|---|---|
| Modelos de ONU e roteador | OLT, ACS e sistema de gestão | Define se a troca de senha sai pela OLT, pelo ACS ou só no local |
| Versão de firmware | OLT e ACS, por amostragem | Versões antigas podem ignorar o comando de troca ou ter falha conhecida |
| Equipamentos de rede | Diagrama da rede e monitoramento | Cada OLT, borda, concentrador e servidor recebe usuários e proteção |
| Contas de acesso | Usuários configurados em cada equipamento | Mostra logins compartilhados e contas de quem já saiu |
| Terceiros com acesso | Contratos e regras de firewall | Fornecedor com VPN aberta é um caminho de entrada pouco vigiado |
O inventário de ONUs costuma revelar surpresas: lotes antigos sem gerência remota, modelos que ninguém lembrava e roteadores do cliente que o provedor configura, mas não controla. O guia sobre gerência de CPEs por TR-069 explica como o ACS ajuda a fechar esse levantamento.
Senhas e acessos no R-Ciber, equipamento por equipamento
Nos equipamentos de assinante, a tarefa é trocar a senha padrão por uma senha única. Na rede do provedor, a tarefa é acabar com o login compartilhado e com a gerência acessível de qualquer endereço.
As duas tarefas parecem iguais, mas pedem ferramentas diferentes. A primeira mexe com milhares de equipamentos de uma vez; a segunda mexe com poucos equipamentos críticos, um de cada vez, com risco de a própria equipe perder o acesso.
Prefere que a troca de senhas e acessos saia com plano de volta?
Na adequação ao R-Ciber, a troca anda em lotes pequenos, cada lote é conferido antes do próximo e o relatório por equipamento fica com você.
ONUs e roteadores dos assinantes
A troca em massa usa a OLT, por OMCI, ou o ACS, por TR-069, começando pelos modelos com gerência alcançável pela internet. O passo a passo por fabricante está no guia sobre como trocar a senha de todas as ONUs.
Senha nova igual em todo o parque não resolve: quem descobre uma descobre todas. O caminho seguro é senha única por equipamento, guardada no ACS ou no sistema de provisionamento.
Gerência da rede do provedor
Cada técnico precisa de um usuário próprio, de preferência autenticado num servidor central, e a gerência só deve aceitar conexões vindas da rede de gestão. A implantação de TACACS cobre a autenticação central com registro de comandos.
# 1. Ver quem tem login no equipamento
/user print detail
/user active print
# 2. Ver quais serviços de gerência estão ligados
/ip service print
# 3. Desligar serviços sem criptografia ou sem uso
/ip service disable telnet,ftp,www,api
# 4. Aceitar SSH e Winbox só da rede de gestão
/ip service set ssh address=192.0.2.0/24
/ip service set winbox address=192.0.2.0/24
# 5. Reforço no firewall: gerência vinda de fora é descartada
/ip firewall filter add chain=input protocol=tcp dst-port=22,8291 \
src-address=!192.0.2.0/24 action=drop comment="gerencia so pela rede de gestao"
# 6. Remover a conta de quem saiu (troque pelo nome real)
/user remove [find name="tecnico-antigo"]
Antes de aplicar o passo 4, confirme que a sua própria conexão vem da rede de gestão; caso contrário, a sessão cai e o acesso só volta pelo console. O guia sobre como fazer hardening mostra o mesmo cuidado em outros fabricantes.
Incidentes no R-Ciber, o que ter pronto antes do primeiro
O provedor precisa de um roteiro escrito e de um modelo de registro antes de o incidente acontecer. Na hora do ataque, ninguém tem cabeça para inventar o processo.
Incidente, aqui, é qualquer evento que comprometa a rede ou os dados: invasão de equipamento, ONUs reconfiguradas, vazamento do sistema de gestão, ataque que derruba o serviço. O regulamento pede comunicação à agência dos incidentes considerados relevantes, com critério e prazo definidos no texto vigente [CONFIRMAR na norma].
| Campo | O que anotar | Para que serve |
|---|---|---|
| Quando | Data e hora do início e da detecção | Contar prazos de comunicação [CONFIRMAR na norma] |
| Como foi detectado | Alarme, queixa de assinante, aviso de terceiro | Mostrar se o monitoramento funcionou |
| Alcance | Equipamentos, POPs e número de assinantes afetados | Avaliar se o incidente é relevante |
| Medidas | O que foi feito para conter e corrigir, e por quem | Provar a resposta e evitar repetir o erro |
| Comunicação | Se houve aviso à agência ou à ANPD, quando e por quem | Fechar o ciclo regulatório do caso |
O guia sobre provedor invadido mostra as primeiras horas de um caso real. O registro feito durante a resposta é o mesmo que alimenta o aviso regulatório, então vale preencher enquanto acontece.
Checklist do R-Ciber para o provedor
O checklist resume as cinco frentes em itens que dá para conferir na rede e na pasta de provas. Cada item sem marca é uma tarefa em aberto.
Marque o que já está feito e com prova guardada
- Existe lista de ONUs e roteadores por modelo, com o caminho de gerência de cada um.
- Nenhuma ONU testada por amostragem aceita mais a senha de fábrica.
- A troca de senhas tem relatório com data, lote e equipamentos que falharam.
- Cada técnico e cada fornecedor tem usuário próprio na OLT, na borda e no concentrador.
- Contas de quem saiu da empresa foram removidas de todos os equipamentos.
- Telnet, HTTP sem criptografia e serviços sem uso estão desligados na gerência.
- A gerência só aceita conexões vindas da rede de gestão.
- Existe roteiro de incidentes escrito, lido pela equipe que atende de madrugada.
- Existe modelo de registro de incidente e pelo menos um caso anotado ou um teste feito.
- A pasta de provas está organizada por obrigação e fica num lugar da empresa, não no computador de alguém.
Até dois itens em aberto costumam se resolver com a equipe da casa. Mais que isso, principalmente nas senhas e na gerência, indica que vale um plano por frente com janela combinada [CONFIRMAR na norma].
Na prática: provedor com dois fabricantes de ONU
Um cenário comum mostra como o checklist vira plano. O provedor tem ONUs de dois fabricantes, um deles gerenciado pela OLT e outro com roteador Wi-Fi integrado que fala TR-069.
- Primeiro lote: troca pela OLT no fabricante com gerência por OMCI, em um grupo pequeno de ONUs, conferido no dia seguinte.
- Segundo caminho: troca pelo ACS nas roteadoras, com senha única gerada por equipamento.
- Sobras: a lista de ONUs que não responderam vira tarefa de campo, aproveitando visitas já agendadas.
- Fechamento: a ativação de ONU nova passa a aplicar a senha única desde o primeiro dia.
Erros comuns ao cumprir o R-Ciber
Os erros mais comuns deixam a medida pela metade ou impedem de provar o que foi feito. Quase todos se evitam com ordem e registro.
Evite
- Trocar a senha de todo o parque de uma vez, sem grupo de teste e sem plano de volta.
- Fechar a gerência sem confirmar o próprio acesso, e perder o equipamento remoto.
- Deixar o fornecedor com a mesma conta da equipe, sem saber o que ele mexeu.
- Escrever a política e não aplicar nada nos equipamentos.
- Corrigir tudo e não guardar data, lista e responsável de cada medida.
Como escolher entre fazer com a equipe ou com apoio externo?
A equipe da casa dá conta quando o parque é de um fabricante só, a gerência já tem autenticação central e há alguém com tempo reservado. Apoio externo faz sentido com vários fabricantes, ONUs sem gerência remota ou prazo vencido.
A Táquion Tech trabalha a adequação por acesso remoto seguro, em lotes com plano de volta, e entrega a pasta de evidências organizada pela ordem do regulamento, para provedores de todo o Brasil.
Perguntas frequentes
Quanto tempo leva para adequar um provedor ao R-Ciber?
Depende do número de ONUs, dos fabricantes e de quanto do parque aceita troca remota. A troca de senhas costuma ser a etapa mais longa, porque anda em lotes conferidos um a um.
O provedor precisa avisar o assinante antes de trocar a senha da ONU?
A senha trocada é a de administração, que o assinante normalmente não usa, então o serviço não muda para ele. Vale orientar o atendimento, porque algum cliente pode ter usado essa senha para mexer na configuração.
O provedor precisa ter alguém só para cuidar de segurança?
Não necessariamente, mas precisa de um responsável definido, que mantenha a pasta de provas e o roteiro de incidentes atualizados [CONFIRMAR na norma]. Em provedor pequeno, essa função costuma ficar com o técnico principal.
O que vale como prova de que o provedor cumpriu o R-Ciber?
Relatório de troca de senhas com data e lista de equipamentos, lista de usuários por equipamento, configuração da gerência e registros de incidentes [CONFIRMAR na norma]. Tudo organizado por obrigação, numa pasta da empresa.
Dá para cumprir o R-Ciber sem trocar as ONUs antigas?
Na maior parte dos casos, sim, pela OLT ou pelo ACS. Modelos que não aceitam troca remota nem atualização podem precisar de visita ou substituição, e isso entra no plano como exceção documentada.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- Agência Nacional de Telecomunicações (Anatel), portal oficial: texto vigente do regulamento de segurança cibernética e alcance de cada obrigação por porte.
- MikroTik, documentação oficial do RouterOS: comandos de usuários, serviços de gerência e firewall usados no exemplo.
- CERT.br, Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil: boas práticas de registro e tratamento de incidentes de segurança.
