MikroTik Cihazlarının DDoS Saldırı Aracına Dönüşmesini Önleme
İşletmelerde internet dağıtımı, şubeler arası VPN tünelleri ve Hotspot yönetimi için MikroTik RouterBoard cihazları yaygın olarak kullanılır. Ancak acemice yapılan yapılandırmalarda en sık düşülen güvenlik tuzağı, dışarıdan gelen DNS sorgularına izin verilmesidir. Cihazınız internete açık bir DNS çözücüye (Open Resolver) dönüştüğünde, siber korsanlar cihazınızı küresel ölçekte bankalara, devlet kurumlarına ve veri merkezlerine düzenlenen devasa DNS Amplification (Yükseltme) DDoS saldırılarında bir zombi olarak kullanır. Bu durum şirketinizin internet yükleme hattını tamamen felç eder, router işlemcisini %100’e kilitler ve servis sağlayıcının internetinizi yasal gerekçelerle kapatmasına yol açar.
DNS Amplification Saldırısı Nasıl İşler?
Saldırganlar kurbanın hedef IP adresini sahte kaynak (IP Spoofing) olarak göstererek sizin MikroTik cihazınıza 60 baytlık minik bir DNS TXT sorgusu yollar. MikroTik cihazınız bu sorguyu iyi niyetle çözer ve cevabı sahte kaynak IP’ye yollar; ancak dönen yanıt 3000 baytlık devasa bir pakettir. Saldırgan 1 birim veri yollayarak sizin internet hattınız üzerinden hedefe 50 birimlik yıkıcı bir trafik basar.
1. Adım: Tehlikeli ‘Allow Remote Requests’ Parametresi
MikroTik Winbox arayüzünde IP > DNS penceresi açıldığında:
- Burada yer alan ‘Allow Remote Requests’ kutucuğu işaretlendiğinde MikroTik bir DNS önbellek sunucusu olur. Yerel ağdaki bilgisayarlar için bu bir hızlandırıcıdır.
- ANCAK güvenlik duvarı kuralı yazılmadan bu kutu işaretlendiğinde, MikroTik sadece yerel ağdan değil tüm dünyadan gelen DNS sorgularını çözmeye başlar!
2. Adım: Winbox Güvenlik Duvarı ile WAN DNS Girişini Bloklama
Yerel ağdaki kullanıcıların DNS önbelleğinden faydalanmasını sürdürürken dış dünyayı kapıda durdurmak için IP > Firewall > Filter Rules sekmesinde en tepeye şu iki kural eklenmelidir:
/ip firewall filter
add chain=input action=drop protocol=udp in-interface-list=WAN dst-port=53
comment="Gelen WAN UDP DNS Sorgularini Engelle