Gerência acessível da internet
Se Winbox, SSH ou a página web respondem a qualquer IP, robôs estão testando senhas no roteador agora.
Segurança e DDoS · Provedores
Hardening de roteadores para provedores
Borda e concentradores sem gerência exposta, sem senha compartilhada e sem serviço que sirva de arma contra outras redes, com cada porta fechada conferida de fora.
- Acesso de emergência antes de fechar
- Um roteador por vez na janela
- Varredura externa de antes e depois
Hardening de roteadores é fechar no roteador tudo o que um atacante usaria para entrar, derrubar o equipamento ou usá-lo contra outras redes. É para o provedor com borda e concentradores que ninguém revisa desde a instalação, ou que já recebeu aviso de serviço aberto. O resultado é cada roteador com acesso restrito, serviços mínimos e um checklist do que foi feito.
O que é hardening de roteadores
É reduzir a superfície de ataque do roteador: desligar o que não é usado e proteger o que precisa ficar ligado. Em provedor, a borda vem primeiro, porque fica de frente para a internet.
Roteadores saem de fábrica para funcionar fácil, não para ficar seguros. Gerência aberta a qualquer IP, DNS respondendo para fora e usuário padrão ativo são achados frequentes, e cada um serve a invasão ou a ataque DDoS por amplificação.
O ponto mais sensível é o plano de controle, a CPU que mantém as sessões BGP e OSPF. Um firewall de entrada no próprio roteador, com limite de pacotes por protocolo, impede que uma enxurrada derrube as sessões e leve a borda junto.
O hardening também deixa o roteador observável: logs num servidor central, relógio certo e exportação de NetFlow para enxergar abuso. O trabalho se divide em quatro partes:
Acesso administrativo
Um usuário por pessoa, nenhuma conta padrão, senha forte, autenticação central por TACACS+ ou RADIUS e segundo fator quando o sistema aceita.
Serviços desligados
Telnet, FTP, HTTP, API sem cifra, descoberta de vizinhos e DNS para fora. O que não tem uso sai da configuração.
Proteção do plano de controle
Filtro e limite de taxa para o que chega à CPU: só BGP dos vizinhos, gerência da rede certa e ICMP controlado.
Registro e recuperação
Logs remotos, NTP, backup da configuração antes e depois e software numa versão sem falhas conhecidas.
Quando você precisa de hardening de roteadores
Seis sinais de que os roteadores estão mais abertos do que deveriam. Basta um deles para valer a revisão.
Senha compartilhada pela equipe
Um usuário para todos impede saber quem mudou o quê. Quando alguém sai, a senha sai junto.
Aviso de DNS ou NTP aberto
A sua borda está respondendo consultas de qualquer um e sendo usada para amplificar ataques contra outros.
CPU alta sem motivo aparente
Tráfego dirigido ao próprio roteador, como varredura ou consulta DNS, sobe a CPU e derruba sessões.
Software sem atualização há anos
Versões antigas têm falhas publicadas e exploradas em massa. Algumas viraram porta de entrada em provedores.
Configuração mudou sozinha
Regra nova, usuário estranho ou script que ninguém criou pedem investigação e fechamento antes que se repita.
Como funciona o hardening de roteadores
São quatro etapas, e as mudanças só começam na terceira. Antes de fechar qualquer porta, um acesso de emergência é garantido.
Levantamento
Configuração de cada roteador lida e comparada com o checklist, mais uma varredura externa de antes.
Prazo: [PREENCHER]
Plano por equipamento
Lista do que muda em cada roteador, com o risco de cada mudança e o comando de volta, para você aprovar.
Prazo: [PREENCHER]
Mudanças em janela
Um roteador por vez, com backup antes e acesso de emergência testado antes de cada regra de bloqueio.
Duração da janela: [PREENCHER]
Conferência de fora
Nova varredura externa para provar que as portas fecharam, e checklist preenchido entregue.
Prazo: [PREENCHER]
O que está incluído no hardening de roteadores
O hardening cobre acesso, serviços, plano de controle e registro de cada roteador. O que fica de fora tem página própria.
Incluído
- Serviços inseguros e sem uso desligados
- Gerência aceita só da rede de gerência ou da VPN
- Usuários individuais e remoção das contas padrão
- Autenticação central e segundo fator, quando suportados
- DNS, NTP e SNMP fechados para a internet
- Proteção da CPU com filtro e limite de taxa
- Antispoofing na borda
- Logs remotos e relógio sincronizado
- Backup da configuração antes e depois
- Atualização para versão sem falhas conhecidas, quando aprovada
Não incluído
- Compra de roteador ou licença (a Táquion Tech não vende equipamento)
- Montagem da rede separada de administração, na rede de gerência isolada
- OLTs, que têm o hardening de OLTs
- Regras de passagem do firewall, na revisão de firewall
- Cópia automática e diária das configurações, no backup de configurações de rede
Quanto custa o hardening de roteadores
O preço depende principalmente de quantos roteadores e quantas marcas existem na rede. É um projeto fechado, com valor escrito depois do levantamento.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Número de roteadores | Cada um é lido, planejado, alterado e conferido | Dois de borda e três concentradores |
| Marcas e versões | Cada sistema tem comandos e armadilhas próprias | RouterOS 6 e 7 convivendo com Huawei |
| Rede de gerência | Sem ela, restringir o acesso pede VPN ou rede nova antes | Gerência hoje feita por IP público |
| Autenticação central | TACACS+ ou RADIUS somam servidor e testes | Servidor de autenticação já existente |
| Atualização de software | Troca de versão vai em janela própria, com volta testada | Roteador com sistema de cinco anos atrás |
| Janelas fora do horário | Madrugada e fim de semana custam mais | Borda sem redundância, só mexível de madrugada |
Faixa de preço para um provedor com até cinco roteadores de uma marca: [PREENCHER faixa aprovada pela Táquion Tech]. Se já houve invasão, comece pela resposta a incidentes.
O que conferir antes de contratar o hardening de roteadores
Confira os erros que trancam a equipe fora do roteador, o que muda de uma marca para outra e as referências que um checklist sério segue. Vale para avaliar qualquer fornecedor, inclusive a Táquion Tech.
Erros comuns ao contratar
Cinco falhas que transformam segurança em ida ao POP. Pergunte ao fornecedor como evita cada uma.
Fechar o acesso antes de garantir outro
A regra que bloqueia a gerência pode bloquear quem está aplicando. Primeiro abre-se o acesso de emergência, depois fecha-se o resto.
Filtro de CPU que esquece um vizinho
Um filtro de plano de controle sem o IP de uma sessão BGP derruba aquela operadora. Cada vizinho entra na lista antes da regra.
Trocar a porta e achar que fechou
Mudar o SSH de porta reduz ruído nos logs, mas não protege. O que protege é aceitar só a rede de gerência.
Atualizar sem ler as notas da versão
Pular versões grandes muda sintaxe e comportamento. A atualização vai em janela própria, com backup e caminho de volta.
Esquecer o IPv6
Filtros só em IPv4 deixam a gerência aberta pelo endereço IPv6 do roteador, que muita gente nem sabe que existe.
Checklist por marca
O princípio é o mesmo em toda marca; muda o nome dos comandos e o que vem ligado de fábrica.
MikroTik RouterOS
Serviços
Desligar telnet, ftp, www e api em /ip service e restringir winbox e ssh por endereço.
Descoberta
Limitar MAC server, MAC Winbox e neighbor discovery à interface de gerência.
DNS
Desligar allow-remote-requests ou filtrar a porta 53 de entrada vinda da internet.
Huawei VRP
Plano de controle
Política cpu-defend com lista dos vizinhos e limite por protocolo [CONFIRMAR na documentação do fabricante].
Acesso
AAA com usuário por pessoa e ACL nas linhas VTY.
Juniper Junos
Plano de controle
Filtro na interface lo0 aceitando só BGP, SSH e NTP de origens conhecidas.
Acesso
Classes de login por função e autenticação por TACACS+.
Cisco IOS XE e IOS XR
Plano de controle
CoPP no IOS XE e LPTS no IOS XR, com classes por protocolo.
Acesso
Só SSH nas linhas VTY e access-class limitada à rede de gerência.
Normas e boas práticas
Referências públicas que servem de base ao checklist. Peça ao fornecedor que diga quais usa.
CIS Benchmarks
Guias públicos de configuração segura por fabricante e versão, usados como ponto de partida do checklist [CONFIRMAR na norma].
RFC 6192
Recomenda como proteger o plano de controle do roteador com filtros na entrada da CPU [CONFIRMAR na norma].
BCP 38
Orienta a descartar na borda pacotes cuja origem não pertence à rede, base do antispoofing [CONFIRMAR na norma].
R-Ciber da Anatel
Pede controles de acesso e cuidado com equipamentos expostos [CONFIRMAR na norma]. Veja a adequação ao R-Ciber.
Por que escolher a Táquion Tech para fechar os roteadores
Porque a segurança entra sem trancar a sua equipe para fora e sem derrubar sessão. Seis compromissos de todo hardening.
Acesso de emergência primeiro
Antes de qualquer bloqueio, um caminho alternativo é aberto e testado com você.
Acesso de emergência testado antes de cada mudança
Um roteador por vez
Se algo sair diferente do previsto, só um equipamento é afetado e a volta é imediata.
Mudanças aplicadas uma a uma na janela
Conferência de fora
A varredura externa prova que as portas fecharam, em vez de confiar na configuração.
Varredura de antes e depois na entrega
Checklist por equipamento
Cada item marcado como feito, já estava certo ou não se aplica, roteador por roteador.
Checklist preenchido entregue
Várias marcas de roteador
MikroTik, Huawei, Juniper, Cisco, Nokia e Datacom, com o mesmo critério em todas.
[PREENCHER: roteadores endurecidos por marca]
Não vendemos roteador
Se a recomendação for trocar equipamento, ela vem do suporte do fabricante, não de comissão.
Nenhuma troca de equipamento indicada por comissão
Onde a Táquion Tech faz hardening de roteadores
O hardening é remoto e atende provedores de todo o Brasil. No litoral de Santa Catarina, o Especialista também vai ao POP quando o acesso de emergência precisa ser físico.
Remoto para todo o Brasil
Levantamento, mudanças e varredura por acesso remoto registrado, em janela combinada, de qualquer estado.
Presencial no litoral de Santa Catarina
Console no rack como acesso de emergência e acompanhamento da janela no POP. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre hardening de roteadores
As dúvidas mais comuns antes de fechar os roteadores. Se a sua não estiver aqui, pergunte no WhatsApp.
O que é hardening de roteador?
É reduzir a superfície de ataque do equipamento: desligar o que não é usado, restringir o acesso e proteger o que precisa ficar aberto, como as sessões BGP.
Como proteger o MikroTik?
Desligue os serviços sem uso, limite Winbox e SSH à rede de gerência, feche o DNS para fora, troque o usuário padrão e mantenha o RouterOS atualizado. Faça backup antes de cada mudança.
Hardening de roteadores pode derrubar a rede?
O maior risco é perder o próprio acesso ou derrubar uma sessão com filtro de CPU incompleto. Por isso o acesso de emergência vem antes e os vizinhos entram na lista antes da regra.
Quanto custa o hardening de roteadores?
Depende do número de roteadores, das marcas e de existir rede de gerência. A faixa é [PREENCHER], e o valor exato sai depois do levantamento.
Quanto tempo leva?
O prazo típico é [PREENCHER] e depende de quantas janelas a sua rede permite. Roteadores sem redundância costumam exigir janela de madrugada.
Preciso atualizar o software junto?
Se a versão tem falhas conhecidas, sim, mas em janela separada e com volta testada. Atualizar junto com o resto dificulta saber o que causou um problema.
Como escolher uma empresa de hardening de roteadores?
Pergunte como ela garante o acesso de emergência, se muda um roteador por vez e se entrega varredura de antes e depois. Use os erros comuns desta página como roteiro.
O hardening substitui o anti-DDoS?
Não. Ele impede que o roteador seja usado ou derrubado por tráfego dirigido a ele, mas ataque que lota o link precisa da mitigação de DDoS.
Vocês fazem em switches e servidores também?
O mesmo método vale para switches e servidores de RADIUS e DNS, com checklist próprio. Para OLTs, existe o hardening de OLTs.
O hardening ajuda com o R-Ciber?
Ajuda na parte de controle de acesso e proteção dos equipamentos [CONFIRMAR na norma]. Veja a adequação ao R-Ciber.
Serviços relacionados ao hardening de roteadores
Três serviços que completam o fechamento da rede. Juntos, deixam a administração separada e recuperável.
-
Implantação de rede de gerência isolada
Rede separada só para administrar os equipamentos, fora do alcance dos assinantes.
Ver a rede de gerência isolada -
Hardening de OLTs
OLTs com senha de fábrica trocada, usuários individuais e gerência restrita.
Ver o hardening de OLTs -
Backup de configurações de rede
Cópia automática das configurações, pronta para restaurar depois de uma invasão.
Ver o backup de configurações de rede
Leia antes de contratar
Três guias sobre os riscos que o hardening fecha.
- Provedor invadido: causas, diagnóstico e quando chamar um Especialista
O que fazer nas primeiras horas quando alguém entrou nos equipamentos.
- Roteador de borda com CPU em 100%: causas, diagnóstico e quando chamar um Especialista
Por que a CPU da borda dispara e como o tráfego dirigido a ela derruba sessões.
- Implantação de TACACS: guia prático para provedores
Como centralizar login e registro de comandos com TACACS+.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de hardening de roteadores
Diga a marca e quantos roteadores você tem. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
