強化路由器安全的十大關鍵策略

許多網管人員尚未意識到，路由器同樣可能成為駭客攻擊的熱門目標。路由器作業系統與網路作業系統一樣，同樣面臨程式錯誤、軟體缺陷與緩衝區溢位等漏洞風險。然而，大多數中小企業既未聘請專職路由器工程師，也未將此項工作外包，導致網管與管理層缺乏專業知識與時間來確保路由器安全。以下整理出強化路由器安全的十大核心方法，供各界參考。

1. 保持路由器作業系統最新

如同網路作業系統需定期更新，路由器韌體亦必須及時升級，以修補程式錯誤、軟體瑕疵與緩衝區溢位等問題。建議定期向廠商查詢最新韌體版本與安全更新公告，並制定例行更新機制。

2. 修改預設帳號密碼

卡內基梅隆大學電腦應急小組統計顯示，80% 的安全事件源於脆弱或預設密碼。務必避免使用常見字典字詞，採用大小寫字母、數字與特殊符號混合的強式密碼原則，並定期輪換。

3. 停用 HTTP 管理介面與 SNMP 協定

雖然 HTTP 網頁設定介面方便管理，但也為攻擊者提供了切入點。若路由器支援命令列介面（CLI），應優先使用 CLI 並停用 HTTP 存取。若未使用 SNMP（簡易網路管理協定），應徹底關閉該服務。思科路由器曾因 SNMP 存在 GRE 隧道攻擊漏洞，更凸顯此風險。

4. 封鎖 ICMP Ping 請求

Ping 與其他 ICMP 功能雖是網管診斷利器，但駭客亦可利用啟用的 ICMP 探測網路拓撲、存活主機等資訊，作為後續攻擊情報。建議在外部介面封鎖 ICMP Echo Request。

5. 禁止來自互聯網的 Telnet 連線

絕大多數情況下，無須從互聯網介面發起主動 Telnet 會話。應限制管理存取僅允許來自內部受信任網段，並建議改用 SSH 等加密協定取代明文傳輸的 Telnet。

6. 停用 IP 定向廣播

IP 定向廣播可能被濫用發動拒絕服務攻擊，大量回應封包將耗盡路由器記憶體與 CPU 資源，導致緩衝區溢位甚至裝置當機。應在介面配置中明確關閉 directed-broadcast 功能。

7. 關閉 IP 來源路由與重導向功能

IP 來源路由允許封包指定路徑，重導向則讓封包從某介面進入、另一介面送出。這類功能極易被惡意封包利用繞過防火牆直達內網，建議全面停用。

8. 實施封包過濾策略

依據最小權限原則，僅允許業務必需的通訊埠（如 HTTP 80、SMTP 25、POP3 110）通過，其餘一律拒絕。同時可針對特定 IP 位址或網段實施允許/封鎖清單，縮減攻擊面。

9. 定期審查安全日誌

花費少量時間分析系統日誌，即可發現可疑掃描、暴力破解嘗試與潛在入侵跡象。日誌審核不僅能及早偵測異常，更能協助調整防禦規則。

10. 關閉所有非必要服務

路由器、伺服器與工作站均應遵循「未使用即關閉」原則。思科裝置預設啟用的 echo（埠 7）、chargen（埠 19）、discard（埠 9）等小型服務（特別是 UDP 版本），鮮少用於合法用途，卻常被利用放大 DDoS 攻擊。封包過濾可作為第二道防線封阻此類濫用。

落實上述十大措施，可大幅提升路由器抗禦能力，構建更堅固的網路邊界防線。