Mislim da nemas previse razloga za brigu. Nije da ne postoje exploiti za cisco, ali vecina njih cilja samo usko odredjene platforme, verzije i servise. Uz to, najveci deo exploita je i prilicno star, i ne mogu nista bilo kojoj iole novijoj verziji ios-a. Osim ako javno ne oglasis koja je adresa, tip tog rutera i verziju ios-a koju tera, posao eventualnog hakera je znacajno otezan, da ne kazem i nemoguc ako ruter nije video i zna koji ios radi na njemu. Ruter je verovatno legalno nabavljen, tako da instaliraj najnoviji ios skinut sa cisca, i pretplati se na par mail-ing lista cisto da dobijas nove security advisory (pojavljuju se naravno i novi exploiti
)
Ostaje ti da resis pristup preko vty-a. Ako ga dozvolis samo odredjenim IP adresama, sanse za eventualne upade na ruter prakticno si sveo na najmanje moguce. Ne mozes "hakovati" nesto ako ne znas ni sta je iza te i te IP adrese, ni da li uopste radi trenutno, tek da li je neki ranjivi ios tu...metode za upad eksponencijalno opadaju sa kolicinom informacija koju je napadac u stanju da (ne)dobije. Ako pustis vty pristup svima, najveci deo onih koji pokusaju da upadnu (ako ih i bude) bice ljudi kojima je dosadno i to ce eventualno pokusavati bruteforce metodama. U tom slucaju ukljuci aaa new-model, logovanje, organici broj pokusaja login-a, koristi komplikovane sifre, ssh umesto telnet-a.
Zapitaj se i sta bi mogao da uradi neko ko bi dobio enable pristup ruteru? Zavisi od konfiguracije mreze, ali generalno ne mnogo toga. Iskljuci logger proces, prekine forwarding paketa...sta dalje?
[Ovu poruku je menjao optix dana 26.12.2006. u 22:01 GMT+1]
"99% of your thought process is protecting your self-conceptions,
and 98% of that is wrong."
Ruter direktno na Net - da li dodeliti javnu IP adresu?
