路由協議對于互聯網及建立在其之上的眾多服務的正常運作起到了關鍵作用。然而，許多這些協議是在沒有考慮安全問題的情況下開發的。

比如說，邊界網關協議（BGP）起初并沒有考慮對等節點之間可能發生的攻擊。在過去的幾十年里，人們在BGP的起源和路徑驗證方面投入了大量的研究。然而，忽略BGP實施的安全性、尤其是消息解析的安全性已導致了多個漏洞，結果被用來實現拒絕服務攻擊（DoS）。

安全行業有一種普遍的態度：“如果它沒有壞，就別去修它”。人們往往忽視安全審計，錯誤地認為這些類型的漏洞不如起源和路徑驗證問題來得嚴重。

傳統的風險評估常常無法徹底檢查網絡上的所有軟件和設備及其影響，因而形成盲區。當組織甚至沒有意識到這些路由協議在使用時，安全缺口會變得更加刺眼。路由協議可能出現在人們意想不到的更多地方，比如數據中心、跨組織站點的VPN以及嵌入到定制設備中。

不為人知的風險

在過去的一年里，威脅分子越來越多地瞄準網絡設備，包括路由器。美國網絡安全和基礎設施安全局（CISA）已發布了一項具有約束力的操作指令，要求聯邦機構減小這些設備的風險。

這種對路由器的高度關注引起了業界對底層路由協議安全性的關注。比如說，已出現了威脅分子利用路由器進行偵察、惡意軟件部署以及指揮和控制通信的情況。CISA已知的被利用漏洞目錄中還有三個BGP DoS問題，以及影響另一種路由協議實施的另外兩個DoS漏洞。

此外，BGP劫持和泄漏也引起了人們的關注，導致這類事件頻發：流量被重定向到意想不到的目的地，有可能暴露敏感信息。數據中心攻擊帶來了另一大風險，因為路由協議中的漏洞可以被利用來將數據中心與互聯網隔離，從而使其服務無法訪問。

風險評估方面的盲區

要堵住風險評估方面的盲區，需要采取多管齊下的做法。

組織應該盡可能頻繁地給網絡基礎設施打上補丁，但你無法修復你不知道壞掉的東西。實際上，應該為連接到網絡的所有設備及在網絡上運行的軟件（包括路由協議）列一份資產清單。

這種安全意識使組織能夠識別漏洞，并采取必要的措施來確定補救工作的優先級。組織還可以通過實施分段策略來降低這些風險，從而保護未打補丁的設備不暴露在互聯網上。

理想情況下，安全應該從軟件開發人員開始做起，他們可以通過使用增強的靜態和動態分析技術以及保護軟件開發生命周期，降低路由協議實施中出現漏洞的可能性。此外，應該建立有效的溝通機制，以便及時地處理和解決任何已確定的漏洞。

同樣，將這些協議整合到其設備中的供應商成為了供應鏈中第三方風險的來源。實施軟件物料清單（SBOM）可以更深入地了解設備和網絡中存在的漏洞，從而使組織能夠更好地管理風險。然而，當供應商不提供這種透明度（或者供應商不知道其設備受到影響）時，責任最終就落在組織的身上，需要積極主動地評估攻擊面。

最后，安全研究社區在發現和負責任地披露這些安全漏洞方面發揮著重要的作用。在某些情況下，安全研究社區提供了比安全公告更及時、更有效的補救和緩解建議，補救和緩解建議本該是由軟件開發人員和供應商發布的。比如在最近的BGP漏洞中，安全研究人員發布了一個開源的BGP模糊測試工具，可以快速測試協議實施以發現漏洞。

暴露風險

影響軟件的漏洞還會影響連接的設備，因此增強安全性需要兩者共同努力。安全研究人員可以提高公眾對路由協議的潛在風險及其對更廣泛生態系統造成的影響的認識，但最終還是由組織負責倡導加強安全性。

組織必須重視全面了解自己的網絡設備，而不僅僅是傳統的端點和服務器，還要了解所有的軟件和設備。它們必須實施嚴格的脆弱性評估，并建立有效的威脅檢測和響應機制。

軟件開發人員和供應商需要改進其安全實踐，加強溝通，并提高透明度。通過共同努力，我們才能加強路由協議的安全性，并保護我們這個高度互聯的世界。

本文翻譯自：https://www.darkreading.com/vulnerabilities-threats/unveiling-the-hidden-risks-of-routing-protocols如若轉載，請注明原文地址