Zyxel 已修补其 GS1900 系列网络交换机中的一个零日漏洞，攻击者曾利用该漏洞入侵全球近 1,000 台设备。据 BleepingComputer 报道，黑客利用该漏洞窃取配置文件和凭据。如果你在家中、小型办公室或家庭实验室中运行其中一台交换机，那么 Zyxel GS1900 零日漏洞就是今天检查固件的好理由。
Zyxel GS1900 交换机发生了什么
目前掌握的事实很直接。GS1900 系列中一个此前未知的漏洞在修复程序存在之前就已被利用。攻击者利用它入侵了全球近 1,000 台设备，并窃取敏感数据，具体来说是配置文件和凭据。Zyxel 现已发布补丁。
消息来源的报道没有在此提供完整的技术分析，因此我们不会推测该漏洞利用的工作原理或幕后黑手是谁。对设备所有者来说，重要的事情很简单：该漏洞已被用于真实攻击，修复程序现已可用，而未打补丁的设备仍然暴露在外。
为什么被盗的配置和凭据如此危险
交换机看起来可能只是无聊的基础设施，但它位于网络的中心。其配置文件实际上是该网络的地图，可能包含有关设备如何连接以及交换机如何管理的详细信息。
凭据会让问题更糟。如果密码从未更改，被盗的登录信息可以让攻击者日后卷土重来，即使漏洞已被修补。凭据还经常在设备和服务的之间重复使用，因此从一台交换机窃取的密码可能成为进入其他设备的途径。
这就是为什么在此类事件发生后，仅靠打补丁可能不够。堵住漏洞可以阻止通过该漏洞的新入侵，但无法撤销已被窃取的数据。
零日漏洞对网络硬件所有者意味着什么
零日漏洞是指攻击者在厂商提供补丁之前就加以利用的漏洞。防御者没有先机，第一天也没有任何东西可以安装。
网络硬件在几个方面使这更加困难：
- 更新是手动的。 与手机或笔记本电脑不同，许多交换机和路由器不会自行更新。必须有人登录、下载固件并应用它。
- 设备会被遗忘。 放在壁橱里的交换机可以运行多年而无人查看。
- 可见性有限。 这些设备很少运行安全软件，因此入侵可能不被察觉。
当零日漏洞出现在这类设备中时，从首次攻击到所有者应用补丁之间的时间窗口可能很长。正是这个缺口，使得像此处报道的近 1,000 台设备被入侵的情况不断累积。
如何加固家庭和小型办公室中的交换机和路由器
你无法阻止厂商发布存在漏洞的产品，但你可以降低漏洞演变成入侵的概率。以下是一般性最佳实践，它们同样适用于 Zyxel 之外的设备。
- 更新固件。 如果你使用 GS1900 系列交换机，请查看 Zyxel 官方支持渠道获取已修补的固件并安装。
- 让管理界面远离互联网。 Web 和远程管理页面应只能从受信任的内部网络或专用管理连接访问。检查路由器的端口转发和防火墙规则，确认没有任何东西暴露交换机。
- 轮换凭据。 更改任何受影响设备上的管理员密码，并更改存储在其配置中或从其配置中重复使用的任何其他密码。为每台设备使用唯一且强壮的密码。
- 审查配置。 查找你不认识的账户、设置或更改。如果某些内容看起来不对劲，考虑先将设备恢复到已知良好状态，再重新应用设置。
- 对网络进行分段。 在硬件允许的情况下，将管理流量、访客设备和智能家居设备分开，这样一台被入侵设备的波及范围会更小。
- 保留清单。 记录你拥有的每台网络设备、其型号和固件版本。你无法修补已经忘记的东西。
VPN 可以帮助保护你在不受信任网络上的流量，但它无法修复你自己网络上存在漏洞的交换机。保护硬件本身是一项单独的工作。
这对你意味着什么
如果你拥有一台 Zyxel GS1900 交换机，请将此视为时间敏感事项。更新固件，确保管理界面无法从互联网访问，并假定暴露设备上存储的凭据可能已被看到。更改它们是廉价的保险。
如果你没有这样的设备，这个教训仍然适用。家庭实验室和小型办公室通常运行与大型组织相同类型的无人值守网络设备，但关注它们的人更少。攻击者知道这一点，单一产品线中的漏洞可以迅速转化为数百台被入侵的设备。
你的下一步
Zyxel GS1900 零日漏洞提醒我们，网络硬件值得与你的计算机和手机一样的关注。今天做这三件事：
- 检查你的 Zyxel 固件，如果你运行 GS1900 系列交换机，请安装已修补的版本。
- 禁用面向互联网的管理，使管理页面只能从你受信任的网络内部访问。
- 轮换你的凭据，包括交换机上以及任何与其共享密码的设备。
然后在你的日历中设置提醒，每隔几个月审查所有网络设备的固件。几分钟的维护远比入侵后的清理容易得多。
