Best practice per la configurazione del router domestico

Faccio sempre quanto segue per il mio gateway (router + modem) o router di casa (se separato, anche se non ho visto un modem che non include anche un router in almeno un decennio):

1. Modifica la password amministrativa, puoi scriverla su un pezzo di carta attaccato al gateway.
2. Imposta le impostazioni di sicurezza al massimo livello. Di solito, questo significa disattivare tutte le porte esterne e l'amministrazione esterna. perchè vorresti questo?
3. Dalla LAN, visitare www.grc.com ed eseguire il test di scansione IP. Cerca eventuali problemi e riconfigurati per correggerli.
4. Attiva la registrazione e monitorala di volta in volta. Guarda la Cina, la Russia e le reti di bot che bussano regolarmente alla tua porta.
5. Uccidi tutto ciò che passa dall'esterno verso l'interno a meno che tu non ne abbia davvero bisogno, quindi valuta attentamente se ne hai davvero bisogno.
6. Se stai usando un server, usa una DMZ e isola dalla tua LAN interna. Attiva il passaggio attraverso le porte al server DMZ solo se necessario. Se non è possibile eseguire DMZ o eseguire il server, passare attraverso le porte o considerare un server proxy più semplice in una DMZ in grado di gestire tutte le connessioni in ingresso e verificare la validità, la coerenza, la sicurezza e l'inoltro ai sistemi interni.
7. L'accesso alla tua LAN dall'esterno dovrebbe avvenire tramite VPN (preferito), ssh (adeguato) o entrambi (cintura e bretelle).

Supponiamo che qualsiasi porta che lasci aperta al mondo abbia una probabilità molto elevata di essere compromessa e quindi di compromettere la tua LAN. Di nuovo, hai davvero bisogno di una porta aperta (a meno che non sia VPN)?

La prima cosa da fare è impostare il router principale per utilizzare Comodo SecureDNS in modo che nessuno al di fuori possa vedere il nomi di dominio visitati dai tuoi computer.

Tutto ciò che devi fare è inserire

8.26.56.26 
8.20.247.20 

come voci del server DNS nelle impostazioni DHCP nel router.

La seconda cosa è che tutti installino HTTPS-Ovunque nei loro browser. Anche i non-tecnici possono fare così tanto.

Questi due passaggi faranno in modo che anche l'ISP non possa dire quello che stanno facendo.

Devi cambiare la password del router per l'amministrazione in qualcosa che conosci solo tu (NON lo stesso per l'accesso WiFi).

Non vuoi che il tuo router consenta l'amministrazione remota, punto.

E infine, disabilitare uPnP. Permette agli oggetti interni come i baby monitor di essere accessibili dall'esterno tramite smartphone. Inoltre, lascia che anche gli estranei facciano capolino. In un caso, qualcuno stava parlando con un bambino attraverso l'altoparlante del monitor e spaventandolo.

Se vuoi vedere quanto è diffuso, vai a link

Se il router è infetto, sarà complicato controllare se è infetto (hai sentito parlare di rootkit?). Ho scritto sulla protezione del mio router sul mio nuovo blog: link .

Quello che ho fatto per proteggere il mio router è stato quello di scansionarlo, sia gli indirizzi privati che quelli pubblici per le porte aperte. Dentro, non ho trovato nulla. Per quanto riguarda l'esterno, ho scoperto che il mio router stava eseguendo un server CWMP (gestione remota). Disabilitare questi privilegi elevati richiesti che sono riuscito a raggiungere. Questo non esclude un'infezione in quanto, se il mio router fa parte di una botnet, posso solo dire se Internet è lento. Al giorno d'oggi, le backdoor non mantengono le porte aperte, avviano le connessioni a C & Cs. Quello che puoi fare è prendere un lampone pi e metterlo tra internet e il router, mentre catturi il traffico. Devi quindi analizzarlo, naturalmente.

Stai al sicuro;)

Prima di tutto voglio affermare che non sono affatto un "fan di Apple" ma ascoltando un episodio di Security Now con Steve Gibson, hanno fatto una nota interessante che i router Apple non hanno fatto parte di nessuno dei recenti "exploit del router", ovvero Linksys e altri. Apple mantiene l'hardware del router abbastanza ben bloccato e aggiornato. Oltre a ciò, segui i tuoi consigli e assicurati che la password predefinita sia sempre cambiata. Se ha altre vie di accesso, ad esempio SSH, prova questo e al minimo assicurati che la sua password sia cambiata.