MikroTik RouterOS Güvenliğinde Yeni Dönem: Device Mode (Cihaz Modu) Nedir ve Nasıl Yapılandırılır?
``markdown
MikroTik RouterOS Güvenliğinde Yeni Dönem: Device Mode (Cihaz Modu) Nedir ve Nasıl Yapılandırılır?
Ağ güvenliği yaklaşımında geleneksel anlayış, yalnızca admin kullanıcı adı ve güçlü bir parola belirleyerek yetkisiz erişimleri engellemek üzerine kuruluydu [1, 2]. Ancak günümüz siber tehdit ortamında, bir saldırganın kimlik bilgilerini ele geçirmesi durumunda dahi cihaz üzerinde yapabileceği zararlı eylemleri kısıtlamak kritik bir zorunluluk haline gelmiştir [1, 3, 4]. MikroTik RouterOS v7 ile hayatımıza giren Device Mode (Cihaz Modu) özelliği, tam yetkili bir yönetici hesabı kullanılsa dahi kritik sistem fonksiyonlarına erişimi donanımsal düzeyde kısıtlayarak saldırı yüzeyini minimuma indirmektedir [1, 3, 5, 6].
Device Mode (Cihaz Modu) Nedir?
Device Mode, MikroTik cihazının işletim sistemi düzeyinde hangi servisleri, protokolleri ve araçları çalıştırabileceğini belirleyen kalıcı bir güvenlik katmanıdır [3, 6]. RouterOS v7.17 ve sonraki sürümlerde fabrika çıkışlı ön tanımlı olarak gelen bu özellik, yetkisiz kişilerin veya yönlendiriciye sızan kötü amaçlı yazılımların cihazı başka ağlara saldırmak için bir geçit (gateway) olarak kullanmasını engeller [3, 4].
Geleneksel erişim denetimlerinden farklı olarak Device Mode, yönetici yetkilerine sahip bir hesabın dahi sınırlarını çizer [1, 5]. Yönlendiricide aktif edilmemiş veya kısıtlanmış bir servis (örneğin SOCKS Proxy, Fetch veya Script Scheduler), admin kullanıcısı tarafından bile fiziki onay verilmeden aktifleştirilemez [2, 4, 5].
Neden Device Mode Kullanmalıyız? Donanımsal Onay Mimarisi
Bir siber saldırgan MikroTik yönlendiriciye erişim sağladığında genellikle oldukça öngörülebilir adımlar izler [4]:
/tool/fetchkomutunu kullanarak uzak sunucudan kötü amaçlı betikler indirir [4]./system/schedulerile bu betikleri periyodik olarak çalıştıracak zamanlanmış görevler oluşturur [4]./ip/socksveya proxy servislerini açarak cihazı zararlı trafik aktarımı için bir röle haline getirir [4].
Device Mode, ihtiyaç duyulmayan servisleri tamamen kilitler [2]. En kritik güvenlik mekanizması ise fiziksel erişim zorunluluğudur [2, 7-9]. CLI üzerinden bir mod değişikliği veya kısıtlı bir özelliğin açılması istendiğinde işlem hemen yürürlüğe girmez [7-10]:
/system/device-mode/updatekomutu verildikten sonra sistem 5 dakikalık (5m) bir geri sayım başlatır [9-11].- Değişikliğin geçerli olması için kullanıcının cihaz üzerindeki Reset/Mode butonuna basması veya cihazın güç kablosunu çıkarıp takarak (cold reboot) fiziksel onay vermesi gerekir [7-10].
- Yazılımsal olarak yapılan yeniden başlatmalar (
reboot) veya 5 dakika içinde verilmeyen fiziki onaylar neticesinde işlem otomatik olarak iptal edilir [8, 10]. - Yetkisiz betiklerin sürekli deneme yapmasını engellemek amacıyla güncelleme denemesi sayacı bulunur; fiziki onay olmadan 3 kez üst üste güncelleme denenirse sistem daha fazla denemeye izin vermez [12, 13].
Device Mode Türleri ve Özellik Karşılaştırması
RouterOS içerisinde cihaz tipine ve kullanım senaryosuna göre tanımlanmış dört temel cihaz modu bulunmaktadır [3, 14]:
- Home (Ev Modu): Ev yönlendiricileri için tasarlanmıştır [3]. Saldırı riskini en aza indirmek için gelişmiş yönetim araçlarının büyük çoğunluğu kısıtlanmıştır [3, 15].
- Basic (Temel Mod): Genel ağ cihazları için standart kısıtlamalar sunar [3].
- Advanced (Gelişmiş Mod - Eskiden Enterprise): CCR ve 1100 serisi kurumsal cihazlarda varsayılan moddur [3, 14]. Çoğu protokole izin verir ancak güvenlik riski yüksek bazı araçlar kapalı gelir [14, 15].
- ROSE Modu: RDS ve depolama alanı geniş cihazlar için geliştirilmiş olup fabrika çıkışlı Container kurulumlarını destekler [3, 14].
Modlara Göre Özellik İzin Tablosu
| Özellik / Servis | Home | Basic | Advanced | ROSE |
|---|---|---|---|---|
Bandwidth Test (/tool bandwidth-test) |
❌ [16] | ❌ [16] | ✅ [16] | ✅ [16] |
Containers (/container) |
❌ [16] | ❌ [16] | ❌ [16] | ✅ [16] |
Email (/tool e-mail) |
❌ [16] | ✅ [16] | ✅ [16] | ✅ [16] |
Fetch (/tool fetch) |
❌ [16] | ✅ [16] | ✅ [16] | ✅ [16] |
Hotspot (/ip hotspot) |
❌ [16] | ❌ [16] | ✅ [16] | ✅ [16] |
Install Any Version (install-any-version) |
❌ [16] | ❌ [16] | ❌ [16] | ❌ [16] |
| IPsec / L2TP / PPTP / SMB | ✅ [16] | ✅ [16] | ✅ [16] | ✅ [16] |
Partitions (/partitions) |
❌ [16] | ❌ [16] | ❌ [16] | ❌ [16] |
Proxy (/ip proxy) |
❌ [16] | ❌ [16] | ✅ [16] | ✅ [16] |
RoMon (/tool romon) |
❌ [16] | ✅ [16] | ✅ [16] | ✅ [16] |
Routerboard Settings (/system routerboard) |
❌ [16] | ❌ [16] | ❌ [16] | ❌ [16] |
Scheduler (/system scheduler) |
❌ [16] | ✅ [16] | ✅ [16] | ✅ [16] |
Sniffer (/tool sniffer) |
❌ [16] | ✅ [16] | ✅ [16] | ✅ [16] |
SOCKS Proxy (/ip socks) |
❌ [16] | ❌ [16] | ✅ [16] | ✅ [16] |
Traffic Generator (/tool traffic-generator) |
❌ [16] | ❌ [16] | ❌ [16] | ❌ [16] |
ZeroTier (/zerotier) |
❌ [16] | ❌ [16] | ✅ [16] | ✅ [16] |
Konfigürasyon ve Komut Satırı (CLI) Kullanımı
Device Mode ayarları yalnızca CLI (Command Line Interface) üzerinden görüntülenebilir ve yönetilebilir [9, 17].
1. Mevcut Modu Görüntüleme
Cihazın aktif durumunu ve izin verilen servisleri kontrol etmek için:
/system/device-mode/print
Bu komut; aktif modu, izlenen parametreleri ve deneme sayılarını listeler [7, 14].
2. Mod ve Tekil Özellik Güncelleme
Hazır bir mod seçilebileceği gibi belirli servisler tekil olarak da aktif/pasif edilebilir [8, 18]. Örneğin, Advanced modda çalışırken Container özelliğini etkinleştirmek için:
/system/device-mode/update container=yes
Komut çalıştırıldığında CLI şu uyarıyı verecektir [10, 13]:
update: please activate by turning power off or pressing reset or mode button in 5m00s
Bu aşamada 5 dakika içinde yönlendiricinin güç kablosu çıkarılıp takılmalı veya donanımsal butona basılmalıdır [7-10].
Kritik Not:
modeparametresi belirtilerek yapılan güncellemeler, önceki özel per-feature (özellik bazlı) ayarları sıfırlar ve yeni modun varsayılanlarını uygular [19]. Yalnızca spesifik bir özellik güncellendiğinde ise mevcut mod korunur [20].
Gelişmiş Güvenlik Mekanizmaları
Allowed Versions (İzin Verilen Sürümler)
Device Mode, allowed-versions parametresi ile MikroTik tarafından güvenli olduğu onaylanmış RouterOS sürümlerinin bir listesini tutar [17, 21]. Saldırganların bilinen güvenlik zafiyetleri barındıran eski bir RouterOS sürümüne cihazı düşürmesini (downgrade) engeller [17, 21]. Sürüm düşürülse bile bu liste korunur ve install-any-version=yes yapılmadıkça alt sürümlere geçiş kısıtlanır [21].
Flagged Status (Şüpheli Durum Bayrağı)
RouterOS, sistem açılışında tüm konfigürasyonu analiz ederek yetkisiz erişim veya zararlı betik izleri arar [22, 23]. Şüpheli bir durum tespit edildiğinde sistem durumu flagged=yes olarak ayarlanır [22, 23]:
- Zararlı kural veya servisler otomatik olarak pasife alınır [23, 24].
- Sistem çalışmaya devam eder ancak Scheduler, SOCKS Proxy, L2TP, PPTP, IPsec veya Sniffer gibi alanlarda yeni kural/yapılandırma eklenmesi engellenir [23, 25].
- Ekleme yapılmak istendiğinde
failure: configuration flaggedhatası döner [25].
Flagged durumundan çıkmak için:
- Cihaz üzerinde tam bir güvenlik denetimi yapılmalı ve tüm parolalar değiştirilmelidir [24].
- İşletim sistemi en güncel sürüme yükseltilmelidir [24].
/system/device-mode/update flagged=nokomutu çalıştırılarak donanımsal onay (güç kesme veya buton) verilmelidir [24].
Sonuç ve En İyi Uygulama (Best Practice) Önerileri
Device Mode, MikroTik ağ güvenliğinde paradigma değişimini temsil etmektedir [26]. Saha kurulumları öncesinde cihazların taranması ve kullanılmayacak tüm servislerin (Fetch, Email, Hotspot, SOCKS Proxy vb.) Device Mode seviyesinde kilitlenmesi, sistem bütünlüğünü korumak adına en etkili savunma hattıdır [2, 9, 26].
---
