Protokół SNMP może być poważną luką w bezpieczeństwie systemu i dlatego warto rozważyć, czy wyłączenie jego obsługi nie będzie korzystne dla systemu IT.

Jednym z najważniejszych zaleceń dotyczących zabezpieczenia systemów operacyjnych i urządzeń jest wyłączenie - a nawet odinstalowanie - niepotrzebnych usług, protokołów i narzędzi. Od tej reguły rzadko zdarzają się wyjątki. Administratorzy systemów operacyjnych oraz urządzeń takich jak routery lub przełączniki, często zapominają jednak o tym, że każda zbędna usługa pracująca w danym środowisku znacząco zmniejsza jego bezpieczeństwo. Świadczy o tym niedawna próba zbadania podatności wielu podsieci Internetu na ataki przy użyciu SNMP, dokonana przez organizację GNUCitizen. Wyniki są zatrważające, bowiem okazało się, że bardzo wiele urządzeń (zbadano 2,5 mln adresów IP) ma poważne luki w bezpieczeństwie. Pośród podatnych elementów sieci przeważały modemy kablowe Arris Touchstone Telephony Modem, routery Cisco, ZyXel Prestige i Netopia, stacje bazowe Apple AirPort, a nawet serwery Windows 2000.

Gdzie występują problemy

Włączona obsługa SNMP może być poważnym zagrożeniem, nawet jeśli ustawiono uprawnienia tylko do odczytu. Jednym z problemów jest możliwość odczytania przez Internet informacji o modelu, stanie aktywności i wykorzystaniu zasobów, a nawet stanie aktualizacji oprogramowania firmware. To ostatnie jest szczególnie groźne, bowiem umożliwia zdalne określenie, które z urządzeń jest podatne na znane już ataki. W pewnych przypadkach można odczytać tą drogą nawet login oraz hasło niezbędne do zalogowania się do urządzenia. Spośród wyników skanowania bardzo ciekawa była zdalna enumeracja użytkowników serwera Windows 2000 oraz rozpoznanie informacji dostępowych (login, hasło) z urządzeń VoIP oraz routerów.

SNMP ma wiele niedostatków związanych z bezpieczeństwem. Są one znane od lat. Na przykład po serii ataków z 2000 i 2002 roku opublikowane zostały materiały analityczne z instrukcjami, jak uchronić się przed zagrożeniem, ale większość tych zaleceń oraz rozpoznanych słabości SNMP jest aktualnych do dzisiaj. Najlepszą radą jest wyłączenie obsługi SNMP tam, gdzie nie jest to absolutnie niezbędne a także zablokowanie ruchu wykorzystującego ten protokół na zaporze sieciowej. Większość urządzeń IPS prawidłowo rozpoznaje odczytywanie za pomocą SNMP i podejmuje odpowiednie działania.

Słabości protokołu

Można łatwo wymienić podstawowe słabości SNMP, które powodują, że protokół ten stanowi lukę w bezpieczeństwie systemu IT. Po pierwsze, jest on podatny na ataki brute-force i słownikowe. Po drugie, najczęściej korzysta z protokołu UDP, zatem w pewnych przypadkach możliwe jest podszywanie się pod odpowiedni adres IP. Zabezpieczenia w postaci list ACL nie zawsze się sprawdzają. Dodatkowo skanowanie po UDP przebiega szybciej, więc prawdopodobieństwo ataku znacząco wzrasta.

Oprócz tego administratorzy często nawet nie wiedzą o istnieniu SNMP, więc nie myślą o zabezpieczeniu systemu przed atakami tą drogą. Dodatkowo wiele urządzeń i systemów udostępnia zbyt wiele informacji za pomocą SNMP. Analiza takich danych umożliwia rozpoznanie struktury sieci, zastosowanych elementów sieciowych (nawet rodzaj i markę zapory sieciowej wraz z informacją o jej stanie aktualności), a także sposobów komunikacji.