【ITニュース解説】Is your MikroTik's Winbox open to the internet? How to check from outside and close it

MikroTikルーターを使用している場合、そのルーターの管理サービスが意図せずインターネットに公開されている可能性がある。特に「Winbox」と呼ばれる管理ツールへのアクセスが外部から可能になっていると、セキュリティ上の大きなリスクとなる。システムエンジニアを目指す皆さんにとって、これはネットワークセキュリティの基礎として理解しておくべき非常に重要な点だ。

まず、Winboxとは何かを説明しよう。Winboxは、MikroTikルーターの「RouterOS」というオペレーティングシステムをグラフィカルに操作するための専用ツールだ。このツールは通常、TCPポート8291番を使ってルーターと通信する。この8291番ポートがインターネットから直接アクセスできる状態になっていると、誰でもあなたのルーターにログインを試みることができてしまう。過去には、ルーターのソフトウェアが最新の状態に更新されていない場合、このWinboxの脆弱性が悪用され、攻撃者にルーターが乗っ取られる事件も発生した。例えば、CVE-2018-14847という脆弱性では、特定のRouterOSバージョン（6.42.1 / 6.40.8より前）でWinboxを通じてルーター内のファイルを読み取ることが可能だった。このような古い脆弱性だけでなく、単純な推測されやすいパスワードを使っているだけでも、不正ログインの危険にさらされる。

なぜWinboxがインターネットに公開されがちなのだろうか。主な原因はいくつかある。一つは、過去に設定した古いルールが残っている場合だ。また、意図せずポートフォワード設定が残っていたり、ルーターの初期設定で有効になっているはずのデフォルトのファイアウォール設定が無効になっていたりすることも原因として挙げられる。これらの設定ミスや見落としが、ルーターを外部からの攻撃に晒すことにつながる。

では、自分のMikroTikルーターのWinboxがインターネットに公開されていないか、どのように確認すれば良いだろうか。重要なのは、ルーターと同じネットワーク内（LAN側）から確認しても意味がない、という点だ。LAN側からのアクセスは通常許可されているため、公開されているかどうかを判断できない。確認するには、インターネット側（WAN側）からあなたのルーターのグローバルIPアドレスに接続を試みる必要がある。

具体的な確認方法としては、まず、自分のネットワークの外にある別のコンピューターから、LinuxやmacOSで利用できるnc（netcat）コマンドを使う方法がある。例えば、nc -vz <あなたのルーターのグローバルIPアドレス> 8291というコマンドを実行すると、8291番ポートが開いているかどうかを確認できる。8728番や8729番（RouterOS API）、23番（Telnet）、21番（FTP）、22番（SSH）、80番（Web管理画面）などのポートも同様に確認しておくと良い。もしこれらのポートに「Connection to ... 8291 port [tcp/*] succeeded!」のようなメッセージが表示されたら、そのポートはインターネットからアクセス可能な状態にあるということだ。

このような手動での確認以外にも、外部からのスキャンサービスを利用する方法もある。例えば「Tanod Monitor」のような無料サービスは、ルーターのWinboxやRouterOS API、Telnet、SNMP、オープンDNSリゾルバーの状態を外部から自動的にチェックし、MikroTikが公開している修正情報と照合してくれる。これにより、脆弱な状態にないかを継続的に監視できる。

もしWinboxがインターネットに公開されていることが判明したら、すぐに閉鎖する必要がある。RouterOSには、これを設定するためのコマンドが用意されている。

まず、管理サービスへのアクセスを特定のIPアドレスに制限する方法がある。これは、WinboxやSSHなどの管理サービスが、あなたの管理用PCのIPアドレス、あるいは内部ネットワーク（例えば192.168.88.0/24）からのみアクセスできるようにする設定だ。

/ip service set winbox address=192.168.88.0/24
/ip service set ssh address=192.168.88.0/24

上記のコマンドは、WinboxとSSHサービスへのアクセスを、指定された内部ネットワーク（例：192.168.88.0/24）からのものだけに制限するという意味だ。自分のネットワークのIPアドレス範囲に合わせて変更する必要がある。

次に、使わない管理サービスは完全に無効化してしまうのが最も安全だ。

/ip service disable telnet,ftp,www,api,api-ssl

このコマンドは、Telnet、FTP、Web管理画面（www）、RouterOS API（api、api-ssl）といったサービスを無効にする。使用しないサービスを無効にすることで、そのサービスを介した攻撃のリスクを根本的に排除できる。

さらに、ファイアウォールを設定して、WAN側からの管理トラフィックを明示的に遮断することも重要だ。RouterOSのデフォルト設定（defconf）では、通常WAN側からの確立済みまたは関連する接続以外の全ての通信を遮断するルールが既に存在することが多い。しかし、もしこのデフォルト設定を削除してしまっている場合は、以下のルールを追加する必要がある。

/ip firewall filter add chain=input in-interface-list=WAN protocol=tcp dst-port=8291,8728,8729,23,21 action=drop comment="no management from WAN"

このファイアウォールルールは、ルーターのWANインターフェースリストに属するインターフェースからのTCPプロトコルによる通信で、宛先ポートが8291番（Winbox）、8728番（RouterOS API）、8729番（RouterOS API SSL）、23番（Telnet）、21番（FTP）であるものを「ドロップ」（遮断）するという意味だ。このルールは、既存の許可ルールよりも上に配置する必要がある。

また、ip firewall natの設定も確認しよう。もし8291番やその他の管理ポートを、ルーターの背後にある別のデバイスに転送するようなdst-nat（宛先NAT）ルールが設定されている場合は、これもセキュリティリスクとなるため、削除するか適切に制限する必要がある。

DNS設定も忘れてはならない。/ip dnsの設定でallow-remote-requests=yesとなっている場合、あなたのルーターは「オープンリゾルバー」として機能し、悪意のあるDDoS攻撃などに利用される可能性がある。もしこの設定が有効になっている場合は、WAN側からのUDP/TCP 53番ポート（DNSのポート）へのアクセスもファイアウォールで遮断することを検討すべきだ。

もしルーターへのリモートアクセスが必要な場合は、VPN（仮想プライベートネットワーク）を利用することを強く推奨する。例えば、RouterOS 7ではWireGuard VPNが利用可能だ。VPNを設定し、Winboxなどの管理サービスはVPNインターフェースからのアクセスのみを許可するように設定すれば、安全にリモート管理が行える。この際、RouterOSは常に最新の安定版または長期サポート版に更新しておくことが極めて重要だ。最新版には、既知の脆弱性に対する修正が含まれているため、常に安全な状態を保つことができる。

ファイアウォールの設定は、一度設定したら終わりではない。ネットワーク構成の変更や、新しいサービス導入の際に、意図せずセキュリティホールが開いてしまう可能性があるからだ。「ちょっとだけ」と思って一時的にポートを開放し、そのまま閉め忘れてしまうケースも少なくない。そのため、定期的な外部からのセキュリティスキャンは非常に有効だ。Tanod Monitorのようなサービスは、設定変更時にアラートを出すことで、このような「うっかり」ミスを防ぐ助けとなる。

これらの対策は、システムエンジニアを目指す上でネットワークセキュリティの基本中の基本だ。自身の管理するネットワークの安全を守るため、常に意識して実践していくことが求められる。