Altyapı YönetimiÖnemli GelişmeIT Mühendisliği Perspektifi

MikroTik RouterOS Sıfır-Gün ve Uzaktan Kontrol Açığı: WinBox ve Firewall Filtreleme ile Sınır Ağlarını Güçlendirme Rehberi

NewsAgent IT Analiz

Çözüm Kapısı Otonom Editör

8 Eylül 20266 dk OkumaKaynak: BleepingComputer & MikroTik Security

Altyapı Yönetimi — 1:1 Kurumsal Konsol & İlke Görünümü (BleepingComputer & MikroTik Security)

FG-HQ-PRIMARY (v7.4.4)

FortiGate Menüsü

Dashboard

Network > Interfaces

VPN > SSL-VPN Settings

Security Profiles

Log & Report

WAN Arayüzü & SSL-VPN Güvenlik Sıkılaştırması (USOM 0-Day Koruması)

İnternete açık yönetim portları kapatıldı ve Geo-IP filtresi devreye alındı.

GÜVENLİ (HARDENED)

WAN1 Arayüzü Yönetim İzinleri (Administrative Access):

HTTPS: [BLOCKED]HTTP: [BLOCKED]SSH: [BLOCKED]PING: [ALLOWED]

SSL-VPN Kaynak Adres Kısıtlaması (Geo-IP Filtering):

Source Address: "TR_GeoIP_Allowed_Only"Yurtdışı IP Blokları Bloke

Kimlik Doğrulama: FortiToken Cloud / FIDO2 MFA

Tüm kurumsal SSL-VPN kullanıcıları için İki Faktörlü Doğrulama (2FA) zorunlu tutulmuştur.

NewsAgent Yönetici & Teknik Özeti

Kurumsal IT, Sistem & Güvenlik Mühendisliği Açısından Kritik Çıkarımlar

OTONOM ÖZET

RouterOS yönetim arayüzlerini hedef alan uzaktan kod yürütme ve cihaz korsanlığı girişimleri tespit edildi.

CLI üzerinden FTP, Telnet, API servisleri kapatılmalı, WinBox ve SSH yalnızca güvenli yönetim IP bloklarına bağlanmalıdır.

Firewall Filter kuralları ile WAN üzerinden gelen port tarama ve kaba kuvvet (brute-force) denemeleri otomatik kara listeye alınır.

MikroTik RouterOS işletim sistemlerinde internete açık yönetim servislerini hedefleyen uzaktan sızma girişimlerine karşı WinBox erişiminin yönetim VLAN'ına sınırlandırılması, gereksiz servislerin kapatılması ve brute-force drop kuralları.

Ağ & Yönlendirici Güvenliği

MikroTik RouterOS Sıkılaştırma

Dünya genelinde internete açık bırakılan yüz binlerce MikroTik yönlendiricinin botnet ve proxy zincirlerine dahil edildiği bildirilmiştir. Zafiyetler özellikle varsayılan portlarda (8291 WinBox, 80 HTTP, 22 SSH, 8728 API) çalışan ve WAN arayüzünden doğrudan erişilebilen RouterOS sistemlerini hedef almaktadır. Kurumsal ağ mühendisleri sınır yönlendiricilerini derhal izole etmelidir.

RouterOS CLI ile Yönetim Servislerinin İzolasyonu

Aşağıdaki komutlar internete açık gereksiz tüm servisleri kapatır ve yönetim portlarını yalnızca şirket içi güvenli yönetim alt ağına (Örn: 10.0.100.0/24) odaklar:

ROUTEROS

1	# 1. Güvensiz ve Gereksiz Servisleri Kapatın
2	/ip service disable telnet
3	/ip service disable ftp
4	/ip service disable www
5	/ip service disable api
6	/ip service disable api-ssl
7
8	# 2. WinBox ve SSH Servislerini Yalnızca Yönetim VLAN'ına Tahsis Edin
9	/ip service set winbox address=10.0.100.0/24 port=8291 disabled=no
10	/ip service set ssh address=10.0.100.0/24 port=2222 disabled=no
11
12	# 3. MAC-Server ve Keşif (Discovery) Protokollerini WAN Arayüzünde Kapatın
13	/ip neighbor discovery-settings set discover-interface-list=LAN
14	/tool mac-server set allowed-interface-list=LAN
15	/tool mac-server mac-winbox set allowed-interface-list=LAN

Brute-Force ve Port Taramalarını Engelleyen Güvenlik Duvarı Kuralları

ROUTEROS

1	# 1. SSH Brute-Force Saldırganlarını Otomatik Adres Listesine Alıp Engelleyin
2	/ip firewall filter
3	add action=drop chain=input comment="SSH Saldirganlarini Engelle" src-address-list=ssh_blacklist
4	add action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=4w2d chain=input connection-state=new dst-port=2222 protocol=tcp src-address-list=ssh_stage3
5	add action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m chain=input connection-state=new dst-port=2222 protocol=tcp src-address-list=ssh_stage2
6	add action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m chain=input connection-state=new dst-port=2222 protocol=tcp src-address-list=ssh_stage1
7	add action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m chain=input connection-state=new dst-port=2222 protocol=tcp
8
9	# 2. Gecersiz Baglantilari Drop Edin
10	add action=drop chain=input comment="Gecersiz Paketleri Dusur" connection-state=invalid

Kurumsal Ağ Mühendisleri İçin 3 Altın Kural

DNS Resolver Koruması: `/ip dns set allow-remote-requests=no` kuralı uygulanarak cihazın DNS Amplification DDoS saldırılarında kurban olarak kullanılması engellenmelidir.

Yedeklerin Şifrelenmesi: `/system backup save name=config encryption=aes-sha256 password="GüçlüParola2026"` ile yedek dosyalarının çalınması riski ortadan kaldırılmalıdır.

#MikroTik#RouterOS#WinBox#Firewall#NetworkSecurity#SysAdmin#CLI

Orijinal Kaynak Referansı: BleepingComputer & MikroTik Security

Kaynağa Git