MikroTik RouterOS Cihazlarında Kaba Kuvvet (Brute-Force) SSH ve Telnet Engelleme Güvenlik Rehberi

Yönetim Portlarına Yapılan Otomatik Parola Saldırıları ve CPU Kilitlenmesi

İnternete bağlı tüm MikroTik yönlendiriciler (RouterOS), siber saldırganların otomatik bot orduları tarafından 7/24 sürekli taranmaktadır. Varsayılan olarak açık bırakılan veya standart portları değiştirilmemiş SSH (TCP 22) ve Telnet (TCP 23) servisleri, saniyede onlarca farklı sözlük parolasını (admin, 12345, password vb.) deneyen dağıtık kaba kuvvet (Brute-Force) saldırılarına maruz kalır. Bu saldırılar yönlendiricinin parolasını ele geçiremese dahi; sürekli açılıp kapanan şifreleme el sıkışmaları (SSH Crypto Handshake) sebebiyle router işlemcisini (CPU) %100 seviyesine kilitleyerek internet erişimini durma noktasına getirir ve sistem günlüğünü (Log) yüz binlerce satırlık ‘login failure’ kayıtlarıyla doldurur.

Dinamik Kara Liste (Blacklist) Kademelendirme Mantığı

MikroTik Güvenlik Duvarı Filtre Kuralları (Firewall Filter) üzerinde üç kademeli bir adres listesi (Stage List) oluşturulur:

• 1. Kademe (Stage 1): SSH portuna ilk bağlantı isteğini yapan IP adresi 1 dakikalığına listeye alınır.
• 2. Kademe (Stage 2): Aynı IP 1 dakika içinde ikinci kez istek atarsa bir üst şüpheli listeye terfi ettirilir.
• 3. Kademe (Stage 3): Aynı IP üçüncü denemeyi yaptığı anda kalıcı ‘SSH_Blacklist’ (Kara Liste) havuzuna atılır ve router o IP’den gelen tüm veri paketlerini kapıda sessizce düşürür (Drop).

1. Adım: Üç Kademeli Güvenlik Duvarı Brute-Force Kurallarının Eklenmesi

Winbox terminali açılarak şu komut bloğu sırasıyla girilir:

/ip firewall filter
# 1. Kara listede bulunan saldırganları kapıda doğrudan düşürün:
add chain=input protocol=tcp dst-port=22 src-address-list=SSH_Blacklist action=drop comment="SSH Brute-Force Saldirganlarini Engelle"

# 2. 3. Kademeye ulaşan saldırganı 10 günlüğüne Kara Listeye atın:
add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=SSH_Stage3 action=add-src-to-address-list address-list=SSH_Blacklist address-list-timeout=10d

# 3. 2. Kademeden 3. Kademeye terfi ettirme:
add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=SSH_Stage2 action=add-src-to-address-list address-list=SSH_Stage3 address-list-timeout=1m

# 4. 1. Kademeden 2. Kademeye terfi ettirme:
add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=SSH_Stage1 action=add-src-to-address-list address-list=SSH_Stage2 address-list-timeout=1m

# 5. SSH portuna gelen ilk bağlantıyı 1. Kademeye kaydedin:
add chain=input protocol=tcp dst-port=22 connection-state=new action=add-src-to-address-list address-list=SSH_Stage1 address-list-timeout=1m

2. Adım: Telnet Servisini Kalıcı Olarak Kapatma

Telnet şifresiz ve güvensiz bir protokol olduğu için port kurallarıyla uğraşılmadan doğrudan tamamen kapatılmalıdır:

/ip service disable telnet

3. Adım: SSH Portunu Değiştirme ve Güvenli Anahtar (SSH Key) Zorunluluğu

Saldırıların %99’u standart 22 portuna gelir. SSH portu yüksek bir değere (Örn: 52222) taşınmalıdır:

/ip service set ssh port=52222

Ayrıca parola ile giriş yerine yalnızca yöneticinin bilgisayarındaki RSA/Ed25519 açık anahtarıyla oturum açılmasına izin verilerek parola deneme saldırıları temelden engellenir.

MikroTik RouterOS siber güvenlik mimarisi, kurumsal firewall sıkılaştırması ve sızma testleri konusunda BaykalSoft Ağ Güvenlik Danışmanlığı birimimizden destek alabilirsiniz.