چک‌لیست جامع امنیت سایبری روتر میکروتیک و سوئیچ سیسکو در شرکت‌ها و کارخانجات

روترهای میکروتیک (MikroTik RouterOS) و سوئیچ‌های سیسکو (Cisco Catalyst) دروازه اصلی ورود و خروج ترافیک اینترنت در شرکت‌ها و کارخانجات هستند. با این وجود، صدها شرکت در اصفهان و خمینی‌شهر از همان پسورد پیش‌فرض خالی، پورت‌های باز Winbox و سرویس‌های ناامن استفاده می‌کنند! ربات‌های اسکنر اینترنتی ظرف کمتر از چند ساعت این روترهای آسیب‌پذیر را شناسایی کرده و به عنوان پروکسی برای حملات DDoS یا دروازه باج‌افزارها مورد سوءاستفاده قرار می‌دهند.

۱. اقدامات فوری امن‌سازی روتر میکروتیک (MikroTik Hardening)

• تغییر یا حذف نام کاربری admin: یک یوزر ادمین جدید با رمز عبور قوی پیچیده بسازید و اکانت پیش‌فرض admin را به طور کامل غیرفعال (Disable) کنید.
• بستن سرویس‌های غیرضروری در مسیر IP -> Services: سرویس‌های ناامن telnet, ftp, api, api-ssl را خاموش کنید و پورت پیش‌فرض winbox (8291) را به یک شماره پورت تصادفی ۵ رقمی تغییر دهید.
• محدود کردن دسترسی ادمین بر اساس آی‌پی (Available From): ورود به پنل وب و وینباکس را صرفاً به رنج آی‌پی پرسنل واحد IT محدود کنید تا از طریق اینترنت عمومی باز نباشد.
• غیرفعال‌سازی پروتکل‌های کشف شبکه: در بخش IP -> Neighbors -> Discovery Settings قابلیت کشف همسایه (MNDP/CDP) را روی پورت متصل به مودم اینترنت (WAN) خاموش کنید.

۲. دیواره آتش فیلتر رول‌ها (Firewall Filter Rules)

رول‌های اساسی فایروال میکروتیک برای بلاک کردن اتک‌ها عبارتند از:

1. قانون Drop Invalid Connections برای دور ریختن پکت‌های معیوب شبکه.
2. قانون Drop Brute Force Attackers که با چند بار اشتباه وارد کردن پسورد، آی‌پی مهاجم را به مدت ۲۴ ساعت در Address List سیاه قرار می‌دهد.
3. قانون Drop All from WAN not DSTNATed برای جلوگیری از ورود هرگونه ترافیک آغازشده از بیرون به شبکه داخلی.

۳. جداسازی شبکه‌ها با VLAN (Network Segmentation)

شبکه کارمندان اداری، دوربین‌های مداربسته، دستگاه‌های پرداخت پوز و اینترنت وای‌فای مهمان حتماً باید بر روی سوئیچ‌های سیسکو با VLANهای مجزا (Virtual LAN) از هم تفکیک شوند تا اگر لپ‌تاپ یک مهمان آلوده به بدافزار شد، ویروس نتواند سرور مالی یا دوربین‌های کارخانه را آلوده کند.