Senha da OLT conhecida por todos
Técnicos, terceirizados e ex-funcionários usam o mesmo login. Não há como saber quem fez cada mudança.
Segurança e DDoS · Provedores
Hardening de OLTs para provedores
OLTs que só a sua equipe acessa, da rede certa e com usuário próprio, sem nenhuma mudança no tráfego dos assinantes.
- Senha de fábrica fora de uso
- Assinantes navegando durante a mudança
- Padrão escrito para as próximas OLTs
Hardening de OLTs é fechar as entradas que as OLTs trazem abertas de fábrica: senha padrão, Telnet, página web sem cifra, SNMP com comunidade conhecida e gerência aceita de qualquer endereço. É para o provedor com OLTs acessadas por senha compartilhada ou alcançáveis pela rede dos clientes. O resultado é cada OLT com usuários individuais, gerência isolada e um padrão escrito para as próximas.
O que é hardening de OLTs
É endurecer a configuração de gerência da OLT para que só a sua equipe, a partir da rede certa, consiga entrar. O tráfego PON dos assinantes não muda.
Quem entra numa OLT controla milhares de clientes de uma vez: derruba portas PON, troca perfis, apaga ONUs ou usa o equipamento como ponte para o resto da rede. Tentativas de acesso costumam aparecer antes nos fluxos de NetFlow do roteador acima dela, como varreduras na porta 23.
Muitas OLTs respondem por SNMP com a comunidade public e aceitam Telnet desde a instalação. Além do risco de invasão, SNMP aberto para a internet serve de amplificador em ataque DDoS contra outras redes.
Na maioria dos provedores, a gerência da OLT é alcançável a partir da rede dos clientes, sem firewall no caminho e sem registro de quem entrou. O hardening trata quatro pontos:
Usuários e senhas
Senha de fábrica trocada, um usuário por pessoa, níveis de permissão por função e autenticação central quando a OLT aceita.
Serviços de gerência
Telnet e HTTP desligados, SSH e HTTPS ligados, e tudo o que não tem uso fora da configuração.
Gerência isolada
Acesso só pela VLAN ou rede de gerência, com ACL na própria OLT e no roteador que chega até ela.
SNMP, relógio e registro
SNMP v3 ou comunidade trocada e restrita, NTP configurado e logs enviados a um servidor central.
Quando você precisa de hardening de OLTs
Seis sinais de que as OLTs estão mais abertas do que deveriam. Um só já justifica a revisão.
Técnico ou terceirizado saiu
Se a senha não mudou, ele ainda entra. Usuário individual permite tirar o acesso de uma pessoa só.
OLT responde em IP público
Gerência alcançável da internet recebe tentativas de login de robôs o dia inteiro.
SNMP com comunidade public
Qualquer um que alcance a OLT lê a configuração, e às vezes consegue alterá-la.
Várias marcas de OLT
Cada fabricante tem comandos e padrões próprios. Sem um padrão por modelo, a OLT nova nasce aberta.
ONUs mudadas sem explicação
Perfis trocados ou ONUs apagadas sem registro indicam acesso indevido e pedem investigação antes do fechamento.
Como funciona o hardening de OLTs
São cinco etapas, e as OLTs só mudam na terceira. O padrão é testado numa OLT antes de ir para as demais.
Levantamento por OLT
Serviços ligados, usuários, comunidades SNMP e de onde cada OLT aceita gerência, com acesso só de leitura.
Prazo: [PREENCHER]
Padrão por modelo
Configuração segura escrita para cada marca e modelo, com os sistemas que precisam continuar acessando.
Prazo: [PREENCHER]
Aplicação em janela
Uma OLT por vez, com backup antes e SSH testado antes de desligar Telnet ou HTTP.
Duração da janela: [PREENCHER]
Teste de dentro e de fora
Acesso conferido da rede de gerência, da rede de clientes e da internet, além do monitoramento e do provisionamento.
Prazo: [PREENCHER]
Entrega do padrão
Relatório de antes e depois e o padrão escrito para configurar OLTs novas.
Prazo: [PREENCHER]
O que está incluído no hardening de OLTs
O serviço vai do levantamento ao padrão documentado, OLT por OLT. O que mexe nas ONUs ou no firmware tem página própria.
Incluído
- Levantamento de serviços, usuários e acessos de cada OLT
- Configuração segura por marca e modelo
- Senha de fábrica trocada e usuários individuais
- Autenticação central, quando a OLT aceita
- Telnet e HTTP desligados, SSH e HTTPS ligados
- SNMP v3 ou comunidade trocada, só leitura e restrita
- ACL de gerência na OLT
- NTP e logs enviados a servidor central
- Firmware conferido contra falhas conhecidas
- Padrão escrito para OLTs novas
Não incluído
- Compra de OLT (a Táquion Tech não vende equipamento)
- Senhas das ONUs dos assinantes, na troca em massa de senhas de ONU
- Troca de versão do sistema da OLT, na atualização de firmware de OLT
- Montagem da rede de administração, na rede de gerência isolada
Quanto custa o hardening de OLTs
O preço depende principalmente do número de OLTs e de quantas marcas e modelos existem. OLTs do mesmo modelo aproveitam o mesmo padrão.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Número de OLTs | Cada uma é lida, alterada e testada na janela | Seis OLTs espalhadas em quatro POPs |
| Marcas e modelos | Cada modelo pede um padrão próprio, escrito e testado | Huawei e ZTE convivendo na mesma rede |
| Rede de gerência | Sem ela, isolar a OLT exige montar VLAN e rotas antes | Gerência hoje na mesma VLAN dos clientes |
| Autenticação central | TACACS+ ou RADIUS somam configuração e testes | Servidor de autenticação já usado nos roteadores |
| Sistemas integrados | ERP, ACS e monitoramento precisam continuar acessando | Provisionamento automático pelo ERP via SNMP |
Faixa de preço para um provedor com até cinco OLTs de uma marca: [PREENCHER faixa aprovada pela Táquion Tech]. Se já houve acesso indevido, comece pela resposta a incidentes.
O que conferir antes de contratar o hardening de OLTs
Confira os erros que cortam o provisionamento, a escolha da versão de SNMP e as boas práticas que o padrão deve seguir. Vale para avaliar qualquer fornecedor, inclusive a Táquion Tech.
Erros comuns ao contratar
Quatro falhas que fazem o hardening parar a operação. Pergunte ao fornecedor como evita cada uma.
Trocar a senha e manter o usuário de fábrica
O nome padrão facilita tentativas de login. O correto é criar usuários por pessoa e desativar o de fábrica quando o modelo permite.
Desligar o HTTP sem SSH funcionando
Em alguns modelos, a web é o único acesso configurado. SSH testado antes evita uma viagem até o POP.
SNMP v3 sem ajustar o monitoramento
O sistema de monitoramento para de ler a OLT se não for ajustado junto. Veja o monitoramento de OLTs.
ACL que bloqueia o provisionamento
ERP, ACS e scripts de ativação precisam estar na lista de origens antes da regra, ou nenhuma ONU nova sobe.
SNMP v2c ou v3
A versão do SNMP define se a senha trafega aberta. A tabela mostra o que muda em cada uma.
| Critério | SNMP v2c | SNMP v3 |
|---|---|---|
| Autenticação | Comunidade em texto aberto | Usuário e senha com hash |
| Cifra | Nenhuma | Opcional e recomendada |
| Suporte nas OLTs | Universal | Na maioria dos modelos atuais [CONFIRMAR por modelo] |
| Uso indicado | Só com ACL rígida | Padrão para gerência |
Quando a OLT só faz v2c
Comunidade
Troque a public por um valor longo e diferente em cada OLT.
Permissão
Deixe só leitura e aceite consultas apenas do servidor de monitoramento.
Escrita por SNMP
Desligue sempre que nenhum sistema precisar dela. É a escrita que permite alterar a configuração à distância.
Checklist por marca
A lista de controles é igual em todas; os comandos e o que vem ligado de fábrica mudam.
Huawei MA5600T e MA5800
Acesso
Usuários locais por nível e ACL na interface de gerência [CONFIRMAR na documentação do fabricante].
Serviços
Telnet desligado e SSH com chave forte.
ZTE C300 e C600
Acesso
Usuários com níveis de privilégio e restrição por ACL [CONFIRMAR na documentação do fabricante].
SNMP
Comunidade padrão removida antes de ligar a v3.
Fiberhome, Datacom, Nokia e outras
Cada modelo recebe o padrão com os comandos dele, testado numa OLT antes das demais.
Normas e boas práticas
Referências que o padrão deve seguir. Peça ao fornecedor que diga quais aplica.
R-Ciber da Anatel
Pede controle de acesso e cuidado com equipamentos da rede [CONFIRMAR na norma]. Veja a adequação ao R-Ciber.
Orientações do CERT.br sobre SNMP
O CERT.br recomenda não deixar SNMP respondendo para a internet, por causa da amplificação [CONFIRMAR na norma].
Menor privilégio
Técnico de campo provisiona ONU, não altera a configuração da OLT. Os níveis de usuário seguem a função de cada pessoa.
Por que escolher a Táquion Tech para fechar as OLTs
Porque as OLTs fecham sem cortar o provisionamento nem o acesso da sua equipe. Seis compromissos de todo hardening.
Acesso garantido antes de fechar
SSH e acesso de gerência testados antes de desligar qualquer serviço antigo.
Teste de acesso antes e depois de cada OLT
Assinantes sem queda
As mudanças ficam na gerência; o tráfego PON segue normal durante toda a janela.
Mudanças em janela combinada
Padrão para as próximas
OLT nova já nasce fechada, com o padrão escrito do seu modelo.
Padrão por modelo entregue no fim
Várias marcas de OLT
Huawei, ZTE, Fiberhome, Datacom, Nokia, Intelbras e V-Solution, com a mesma lista de controles.
[PREENCHER: OLTs endurecidas por marca]
Não vendemos OLT
Se o modelo não aceita os controles mínimos, a recomendação vem do suporte do fabricante, não de comissão.
Nenhuma troca de equipamento indicada por comissão
Especialista do começo ao fim
Quem escreve o padrão é quem aplica e testa em cada OLT.
[PREENCHER: anos de experiência da equipe com OLTs]
Configuração de OLT por marca
O hardening parte da configuração de cada fabricante. Cada marca tem a sua página com os detalhes de implantação.
Huawei
MA5600T e MA5800 com níveis de usuário e ACL de gerência por interface.
ZTE
C300 e C600 com privilégios por usuário e SNMP restrito.
Fiberhome
Gerência pelo sistema do fabricante ou por linha de comando, com acesso limitado.
Datacom
DmOS com AAA, SSH e ACL de gerência na mesma lógica dos roteadores da marca.
Nokia
Perfis de operador por função e gerência separada do tráfego dos clientes.
Intelbras
OLTs de entrada com senha de fábrica trocada e serviços web restritos.
Onde a Táquion Tech faz hardening de OLTs
O hardening é remoto e atende provedores de todo o Brasil. No litoral de Santa Catarina, o Especialista também vai ao POP quando a OLT só aceita acesso pela porta de console.
Remoto para todo o Brasil
Levantamento, aplicação do padrão e testes por acesso remoto registrado, em janela combinada.
Presencial no litoral de Santa Catarina
Acesso por console no rack e acompanhamento da janela no POP. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre hardening de OLTs
As dúvidas mais comuns antes de fechar o acesso às OLTs. Se a sua não estiver aqui, pergunte no WhatsApp.
O que é hardening de OLT?
É desligar o que não é usado, trocar senhas e restringir a gerência, para que só a sua equipe, da rede certa, consiga entrar na OLT.
A OLT pode ser invadida pela internet?
Pode, quando a gerência responde em IP público ou a partir da rede de clientes. A restrição à rede de gerência e a ACL na própria OLT fecham esse caminho.
O hardening derruba os clientes?
Não deveria. As mudanças ficam na gerência, são feitas em janela e o acesso é testado antes de encerrar cada OLT.
Quanto custa o hardening de OLTs?
Depende do número de OLTs e de marcas diferentes. A faixa é [PREENCHER], e OLTs do mesmo modelo aproveitam o mesmo padrão.
Quanto tempo leva?
O prazo típico é [PREENCHER] e depende de quantas OLTs entram em cada janela. O padrão do primeiro modelo é o que leva mais tempo.
O ERP e o ACS continuam funcionando?
Continuam, porque entram na lista de origens antes da ACL e são testados depois de cada OLT. Se o ERP usa SNMP para provisionar, a escrita fica liberada só para ele.
E as senhas das ONUs dos clientes?
Também precisam ser trocadas, porque a senha padrão é pública. A troca em massa de senhas de ONU cuida disso sem visitar cada cliente.
Preciso atualizar o firmware antes?
Só se a versão tiver falha conhecida ou não aceitar SSH e SNMP v3. Nesse caso, a atualização de firmware de OLT vem antes.
Como escolher uma empresa de hardening de OLTs?
Pergunte se ela testa o provisionamento depois da mudança e se entrega um padrão escrito por modelo. Quem não pergunta pelo seu ERP antes vai cortá-lo.
Funciona com OLTs de marcas diferentes na mesma rede?
Funciona. Cada modelo recebe o seu padrão, e a lista de controles é a mesma em todos.
Serviços relacionados ao hardening de OLTs
Três serviços que completam a proteção da rede de acesso. Cada um fecha uma porta diferente.
-
Troca em massa de senhas de ONU
Senha padrão das ONUs trocada em massa, sem visita ao cliente.
Ver a troca em massa de senhas de ONU -
Implantação de rede de gerência isolada
Rede separada só para administrar OLTs, roteadores e switches.
Ver a rede de gerência isolada -
Hardening de roteadores
Roteadores com gerência restrita, serviços mínimos e CPU protegida.
Ver o hardening de roteadores
Leia antes de contratar
Três guias sobre acesso, registro e gerência na rede de acesso.
- Provedor invadido: causas, diagnóstico e quando chamar um Especialista
Como uma senha padrão esquecida vira invasão, e o que fazer depois.
- Implantação de TACACS: guia prático para provedores
Como centralizar o login nas OLTs e roteadores com TACACS+.
- Gerência de CPEs via TR-069: guia prático para provedores
Como gerenciar as CPEs dos assinantes sem deixar portas abertas.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de hardening de OLTs
Diga a marca e quantas OLTs você tem. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
