MikroTik router sıkılaştırma: 15 adımlık eksiksiz RouterOS güvenlik kontrol listesi

MikroTik router çoğu zaman şirket ağı ile internet arasında duran tek cihazdır. Bu router'a sızılabiliyorsa arkasındaki güvenlik duvarı ve antivirüs pek işe yaramaz. Son yıllarda güncellenmemiş ya da zayıf parolalı binlerce MikroTik router, genellikle sahipleri fark etmeden Meris gibi büyük botnet'lere dahil edildi.

İyi haber şu ki MikroTik'i sıkılaştırmak karmaşık değil. Birkaç doğru ayar, yaygın saldırıların çoğunu etkisiz kılar. Bu yazıda önce yapılacakların tam listesini göreceksiniz, ardından her maddeyi hazır komutlarla açıklayacağım.

Bir bakışta MikroTik sıkılaştırma kontrol listesi

1. RouterOS ve RouterBOOT'u güncelleyin.
2. admin kullanıcısını kaldırın ve güçlü bir parola belirleyin.
3. Her kişi için uygun yetki düzeyinde ayrı kullanıcı oluşturun.
4. Kullanılmayan hizmetleri (Telnet, FTP, Web, API) kapatın.
5. Winbox ve SSH'yi iç adreslerle sınırlayın ve portlarını değiştirin.
6. MAC Server ve Neighbor Discovery'yi yalnızca LAN'da etkin bırakın.
7. Input güvenlik duvarını varsayılan drop politikasıyla kurun.
8. Brute force saldırılarını engelleyin.
9. Dışarıdan yönetimi yalnızca VPN üzerinden yapın.
10. DNS'i internete kapatın.
11. Proxy, SOCKS, UPnP ve Bandwidth Test gibi gereksiz özellikleri kapatın.
12. SNMP'yi güvenli hâle getirin veya kapatın.
13. Kullanılmayan portları devre dışı bırakın ve Device Mode'u kontrol edin.
14. Saat, loglama ve logları sunucuya gönderme ayarlarını yapın.
15. Şifreli yedek alın ve router'ı düzenli olarak denetleyin.

Başlamadan önce: Güvenlik duvarı ve hizmet değişikliklerini Winbox Safe Mode ile yapın (pencerenin üstündeki Safe Mode düğmesi veya terminalde Ctrl+X). Erişiminiz kesilirse router değişiklikleri otomatik olarak geri alır.

1. RouterOS ve RouterBOOT güncellemesi

MikroTik güvenliğinde en önemli adım güncellemedir. 2018'deki bilinen Winbox açığı gibi MikroTik'e yönelik yaygın saldırıların çoğu, çok önce yaması yayımlanmış sürümleri hedef aldı. Router'ı stable veya long-term kanalında tutun:

/system package update set channel=stable
/system package update check-for-updates
/system package update install

Yeniden başlatmadan sonra kart yazılımını (RouterBOOT) da güncelleyin ve tekrar yeniden başlatın:

/system routerboard upgrade
/system reboot

2. admin kullanıcısını kaldırma ve güçlü parola

Botlar önce admin kullanıcı adını dener. Farklı adda ve güçlü parolalı bir kullanıcı oluşturun, onunla giriş yapın ve ardından admin'i devre dışı bırakın:

/user add name=netadmin group=full password="uzun-rastgele-parola"
/user disable admin

En az 16 karakterli rastgele bir parola seçin ve bir parola yöneticisinde saklayın.

3. Her kişi için ayrı kullanıcı ve uygun yetki düzeyi

Herkes ortak tek bir kullanıcıyla giriş yapmasın; ayrı kullanıcılarla logda kimin neyi değiştirdiği görünür. Yalnızca durumu görmesi gereken biri için read grubu yeterlidir:

/user add name=support group=read password="..."
/user add name=netadmin2 group=full password="..." address=192.168.88.0/24

address parametresi o kullanıcının yalnızca bu aralıktan giriş yapmasına izin verir.

4. Kullanılmayan hizmetleri kapatma

MikroTik varsayılan olarak birkaç yönetim hizmetini açık bırakır. Telnet ve FTP parolayı şifrelemeden gönderir ve neredeyse hiçbir zaman gerekmez:

/ip service print
/ip service disable telnet,ftp,www,api,api-ssl

Web paneline ihtiyacınız varsa www yerine sertifikalı www-ssl kullanın.

5. Winbox ve SSH'yi sınırlama ve portlarını değiştirme

Winbox ve SSH'ye yalnızca iç ağdan veya yönetim ağından erişilebilsin. Winbox portunu ve SSH portunu değiştirmek, yalnızca varsayılan portları tarayan botları durdurur ve logu sadeleştirir; ancak güvenlik duvarının yerini tutmaz:

/ip service set winbox address=192.168.88.0/24 port=18291
/ip service set ssh address=192.168.88.0/24 port=2222
/ip ssh set strong-crypto=yes

Port değiştikten sonra Winbox'ta adresi 192.168.88.1:18291 şeklinde girin.

6. MAC Server ve Neighbor Discovery yalnızca LAN'da

MAC-Winbox ile IP olmadan bile router'a bağlanılabilir; Neighbor Discovery de router'ın modelini ve sürümünü herkese duyurur. İkisini de LAN listesiyle sınırlayın:

/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/tool mac-server ping set enabled=no
/ip neighbor discovery-settings set discover-interface-list=LAN

İç portların LAN listesinde, internet portunun WAN listesinde olduğundan emin olun: /interface list member print.

7. Drop politikasıyla input güvenlik duvarı

Input zinciri router'ın kendisini korur. Altın kural: Gerekeni açıkça kabul edin, gerisini düşürün:

/ip firewall filter
add chain=input connection-state=established,related,untracked action=accept comment="accept established"
add chain=input connection-state=invalid action=drop comment="drop invalid"
add chain=input protocol=icmp action=accept comment="accept ICMP"
add chain=input in-interface-list=LAN action=accept comment="accept LAN"
add chain=input action=drop comment="drop all else"

Kuralların sırası önemlidir; son kural gerçekten en sonda olmalıdır. İç ağı (forward zinciri) korumak ve misafir ağını ayırmak için MikroTik ile ağ güvenliği yazısına bakın.

8. Brute force saldırılarını engelleme

SSH gibi bir hizmeti dışarıya açık bırakmak zorundaysanız, art arda başarısız deneme yapan adresleri aşamalı birkaç adres listesiyle engelleyin. Bu kuralları drop all else kuralının üstüne koyun:

/ip firewall filter
add chain=input protocol=tcp dst-port=2222 src-address-list=ssh_blacklist action=drop comment="drop SSH brute force"
add chain=input protocol=tcp dst-port=2222 connection-state=new src-address-list=ssh_stage3 action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=1d
add chain=input protocol=tcp dst-port=2222 connection-state=new src-address-list=ssh_stage2 action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m
add chain=input protocol=tcp dst-port=2222 connection-state=new src-address-list=ssh_stage1 action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m
add chain=input protocol=tcp dst-port=2222 connection-state=new action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m
add chain=input protocol=tcp dst-port=2222 connection-state=new action=accept comment="allow SSH"

Son kural SSH'nin kendisini açar; o olmadan drop all else kuralı herkesi engeller. Birkaç dakika içinde dört yeni bağlantı açan bir adres bir gün boyunca engellenir. Engellenenlerin listesini /ip firewall address-list print where list=ssh_blacklist ile görebilirsiniz.

9. Uzaktan yönetim yalnızca VPN ile

Winbox'a yönelik saldırıları önlemenin en iyi yolu, onun internetten hiç görünmemesidir. Dışarıdan yönetim için bir WireGuard VPN kurun ve Winbox'a yalnızca tünelin içinden bağlanın. Bu durumda WAN'da açık olan tek port WireGuard'ın UDP portudur. Kurulumun tamamını MikroTik cihazlarına uzaktan erişim yazısında anlattım.

10. DNS'i internete kapatma

DNS'te Allow Remote Requests açıksa WAN tarafında 53. portu kapatın; aksi hâlde router'ınız DNS amplification saldırılarının aracı olur. 7. adımdaki input güvenlik duvarı bu portu zaten kapatır. Ayrıntılı açıklama ve diğer önlemler MikroTik'te DNS saldırılarını önleme yazısında.

11. Gereksiz özellikleri kapatma

Kullanmadığınız her özellik fazladan açık bir kapıdır. Açık Proxy ve SOCKS, ele geçirilmiş router'ların kötüye kullanılmasının en yaygın yollarından olmuştur:

/ip proxy set enabled=no
/ip socks set enabled=no
/ip upnp set enabled=no
/tool bandwidth-server set enabled=no
/tool romon set enabled=no

IP Cloud ve DDNS kullanmıyorsanız: /ip cloud set ddns-enabled=no.

12. SNMP'yi güvenli hâle getirme

İzleme sisteminiz yoksa SNMP'yi kapatın. Varsa varsayılan public community'yi değiştirin ve yalnızca izleme sunucusunun adresine izin verin:

/snmp set enabled=no

Ya da:

/snmp community set [find default=yes] name=mon-7Kq2 addresses=192.168.88.20/32
/snmp set enabled=yes

13. Kullanılmayan portlar ve Device Mode

Kimsenin bir kablo takarak ağa bağlanamaması için boş portları devre dışı bırakın:

/interface ethernet disable ether5,ether6

Yeni RouterOS 7 sürümlerinde Device Mode, Scheduler, Fetch, Proxy ve SOCKS gibi hassas özellikleri kısıtlar ve değiştirilmesi router'a fiziksel erişim gerektirir. Durumunu /system device-mode print ile görün ve yalnızca gerçekten ihtiyaç duyduğunuz özellikleri açık tutun.

14. Saat, loglama ve logları sunucuya gönderme

Saati yanlış olan bir log, olay incelemesinde işe yaramaz. NTP'yi etkinleştirin ve giriş loglarını bir syslog sunucusuna gönderin; böylece router ele geçirilse bile saldırgan izini silemez:

/system ntp client set enabled=yes
/system ntp client servers add address=pool.ntp.org
/system logging action add name=syslog target=remote remote=192.168.88.20
/system logging add topics=account action=syslog
/system logging add topics=critical action=syslog

Başarısız girişleri /log print where topics~"account" ile görün.

15. Şifreli yedek ve düzenli denetim

Yapılandırmanın hem şifreli ikili yedeğini hem de metin çıktısını alın ve bir kopyasını router dışında saklayın:

/system backup save name=router-2026 password="..." encryption=aes-sha256
/export file=router-2026

Ayda bir şunları kontrol edin; tanımadığınız her şey sızma belirtisidir:

/user print
/user active print
/system scheduler print
/system script print
/ip dns static print
/file print

Yedekleme ve geri yüklemenin tamamını MikroTik yedekleme yazısında anlattım.

Özet

Vaktiniz azsa şu dört işle başlayın: RouterOS'u güncelleyin, admin kullanıcısını yeni bir kullanıcı ve güçlü bir parolayla değiştirin, input güvenlik duvarını drop politikasıyla kurun ve Winbox'ı internete kapatın. Yalnızca bu dördü bile router'ınızı otomatik saldırıların çoğunun erişiminden çıkarır. Bu listenin geri kalanı MikroTik güvenliğinizi tamamlar.

Router'larınızın ve ağ güvenlik duvarınızın incelenmesini istiyorsanız benimle iletişime geçin.