MikroTik RouterOS Cihazlarında DNS Amplification Saldırısı Tespiti ve WAN UDP 53 Port Kapatma Rehberi

Soru: MikroTik Yönlendiricinin Upload Trafiği Aniden Neden %100 e Fırlar ve Router Kilitlenir?

Cevap: Kurumsal şirketlerde veya internet dağıtımı yapılan ağlarda MikroTik RouterBoard yönlendiricinin (hEX, CCR, Cloud Router Switch) internet yükleme (Upload) trafiğinin hiçbir personel dosya göndermemesine rağmen aniden 50 Mbps, 100 Mbps veya 1 Gbps tavanına vurması, cihazın CPU kullanımının %100 e kilitlenmesi ve servis sağlayıcının ‘IP adresinizden dış dünyaya siber saldırı yapılıyor’ diyerek hattı kapatması küresel bir DNS Amplification (DNS Yükseltme DDoS Saldırısı) kurbanı olduğunuzu gösterir. Bu problem şirket içine virüs girmesi değil; MikroTik üzerinde yerel ağ hızlansın diye açılan DNS servisinin güvenlik duvarı kuralı yazılmadan tüm internete açık (Open Resolver) bırakılmasıdır.

DNS Yükseltme (Amplification) Saldırısının Yıkıcı Mekanizması

Bilgisayar korsanları doğrudan kurbanı hedef almak yerine internetteki savunmasız MikroTik cihazlarını ‘zombi güçlendirici’ olarak kullanır:

• Saldırgan sahte kaynak IP tekniğiyle (IP Spoofing) kendi IP sini değil, saldırmak istediği bir bankanın veya devlet sitesinin IP adresini paketin kaynak kısmına yazar.
• Sizin savunmasız MikroTik inizin genel IP sine dış internetten UDP 53 portu üzerinden küçük 60 baytlık bir ‘büyük TXT kaydı sorgusu’ fırlatır.
• MikroTik iyi niyetle bu sorguyu çözer; ancak ürettiği cevap 3000 bayt ile 4000 bayt büyüklüğünde devasa bir pakettir.
• MikroTik bu devasa cevabı korsana değil, pakette yazan masum kurbana (bankaya) yollar.
• Korsan saniyede 1000 adet minik istek atarak sizin internet çıkışınız üzerinden hedefe saniyede yüzlerce megabitlik ölümcül bir trafik pompalar; faturayı ve hat kilitlenmesini sizin işletmeniz öder.

1. Adım: Cihazın Saldırı Altında Olduğunu Winbox Üzerinden Doğrulama

Hattın DNS saldırısıyla boğulduğunu saniyeler içinde kanıtlamak için:

1. Winbox açılarak Interfaces menüsüne girilir; WAN (İnternet) bacağının ‘Tx (Upload)’ trafiğinin tavan yaptığı görülür.
2. Tools > Torch aracı çalıştırılır; WAN arayüzü seçilir:
   • ‘Port’ kutusu işaretlenir ve ‘Start’ butonuna basılır.
   • Listede dış dünyadaki rastgele yüzlerce IP ye doğru UDP Port 53 üzerinden çılgınca paket aktığı ifşa edilir.

2. Adım: Güvenlik Duvarı ile WAN Bacağına Gelen DNS İsteklerini Kesin Olarak Bloklama

Saldırıyı milisaniyeler içinde durdurmanın kesin panzehiri güvenlik duvarına iki kural yazmaktır:

Winbox Terminal Komutu:
# 1. WAN arayüzünden gelen UDP 53 DNS paketlerini doğrudan çöpe atın (DROP):
/ip firewall filter
add chain=input action=drop protocol=udp in-interface-list=WAN dst-port=53 
    comment="DNS Amplification Saldirisini Engelle (WAN UDP 53 DROP)" place-before=1

# 2. WAN arayüzünden gelen TCP 53 paketlerini de düşürün:
add chain=input action=drop protocol=tcp in-interface-list=WAN dst-port=53 
    comment="WAN TCP 53 DROP" place-before=2

Bu kurallar listenin en tepesine eklendiği saniyede sayacın delice döndüğü, dış dünyadan gelen tüm saldırı paketlerinin routerın kapısında imha edildiği görülür. Upload trafiği anında sıfıra iner ve router CPU kullanımı %100 den %3 seviyesine çakılır.

3. Adım: Şişmiş DNS Önbelleğini Boşaltma

Saldırı esnasında içeriye dolan sahte kayıtları silmek için terminalden /ip dns cache flush komutu verilir. Yerel ağdaki personelin interneti hiçbir kesintiye uğramadan ışık hızında çalışmaya devam eder.

MikroTik kurumsal ağ güvenlik sıkılaştırması, DDoS engelleme, Firewall filtre optimizasyonu ve siber savunma projelerinde BaykalSoft Ağ Güvenlik Danışmanlığı birimimizden profesyonel destek alabilirsiniz.