Materi
Hampir semua lalu lintas organisasi melewati router, switch, firewall, dan access point, sehingga CISA menyebut perangkat ini sasaran ideal: penyerang yang menguasai router gerbang bisa memantau, mengubah, dan menahan lalu lintas. CISA juga mencatat penyebab kerawanannya: pengaturan bawaan tidak diganti, layanan yang dinyalakan pabrik untuk memudahkan pemasangan dibiarkan menyala, dan tambalan jarang dipasang.
Rekomendasi CISA untuk memperkerasnya: ganti kata sandi bawaan; matikan protokol admin tak terenkripsi seperti Telnet, FTP, dan HTTP, lalu kelola lewat SSH atau HTTPS; matikan layanan yang tidak dipakai, misalnya protokol penemuan perangkat dan source routing; pakai SNMPv3 tanpa community string; dan batasi alamat yang boleh mengelola perangkat.
Manajemen out-of-band memisahkan lalu lintas manajemen dari lalu lintas pengguna lewat jalur khusus, fisik atau virtual. CISA meminta perangkat hanya menerima manajemen dari jalur itu, semua kanal manajemen dienkripsi, dan pekerjaan admin dilakukan dari host khusus yang sudah ditambal. NIST SP 800-41 juga meminta pembatasan alamat asal admin bila perangkat mendukungnya.
# Ekspor konfigurasi tiruan sw-lobi (sintaks karangan, bukan merek tertentu)
hostname sw-lobi
user admin password admin
service telnet enable
service ssh enable
service http enable
snmp community public read-only
management allow 0.0.0.0/0Hampir setiap baris contoh itu perlu diubah: akun dan kata sandi bawaan, Telnet dan HTTP yang tidak terenkripsi, SNMP dengan community string, dan izin manajemen dari alamat mana pun.
