MikroTik RouterOS v7 — Device Mode

Kavramsal Çerçeve

Geleneksel ağ güvenliği anlayışı, güçlü bir parola ve admin hesabıyla yetkisiz erişimi engellemek üzerine kuruluydu. Bugünün tehdit ortamında ise varsayım değişmiştir: kimlik bilgileri ele geçirilse dahi saldırganın cihaz üzerinde yapabileceği hasar sınırlandırılmalıdır. RouterOS v7 ile gelen Device Mode, tam yetkili bir yönetici hesabı kullanılsa bile kritik sistem fonksiyonlarını donanım katmanında kısıtlayarak saldırı yüzeyini asgariye indirir.

Device Mode Nedir?

Device Mode, cihazın işletim sistemi düzeyinde hangi servisleri, protokolleri ve araçları çalıştırabileceğini belirleyen kalıcı bir güvenlik katmanıdır. RouterOS v7.17 ve sonraki sürümlerde fabrika çıkışlı olarak etkindir; amacı, yönlendiriciye sızmış bir saldırganın veya kötü amaçlı yazılımın cihazı başka ağlara saldırmak için geçit olarak kullanmasını engellemektir.

Geleneksel erişim denetimlerinden ayrıldığı nokta şudur: Device Mode, yönetici yetkisinin sınırını da çizer. Etkin olmayan veya kısıtlanmış bir servis — SOCKS Proxy, Fetch ya da Script Scheduler — admin hesabıyla bile, fiziksel onay verilmeden devreye alınamaz.

Neden Gerekli? Donanımsal Onay Mimarisi

Bir saldırgan yönlendiriciye eriştiğinde izlediği yol şaşırtıcı biçimde öngörülebilirdir:

1. /tool/fetch ile uzak sunucudan kötü amaçlı betik indirir.
2. /system/scheduler ile bu betiği düzenli aralıklarla tetikleyecek görev oluşturur.
3. /ip/socks veya proxy servislerini açarak cihazı zararlı trafiğin rölesi haline getirir.

Device Mode bu zinciri daha ilk halkada koparır: ihtiyaç duyulmayan servisleri tamamen kilitler. En kritik mekanizma ise fiziksel erişim zorunluluğudur. CLI üzerinden istenen bir mod değişikliği ya da kısıtlı bir özelliğin açılması anında yürürlüğe girmez:

• /system/device-mode/update komutundan sonra sistem 5 dakikalık geri sayım başlatır.
• Değişikliğin geçerli olması için Reset/Mode butonuna basılmalı ya da güç kablosu çıkarılıp takılmalıdır (cold reboot).
• Yazılımsal yeniden başlatma (reboot) veya süresi içinde verilmeyen fiziksel onay, işlemi otomatik olarak iptal eder.
• Yetkisiz betiklerin ısrarlı denemelerini engellemek için bir güncelleme denemesi sayacı bulunur; fiziksel onay olmadan üst üste üç deneme sonrasında sistem yeni denemeye izin vermez.

Mod Türleri ve Karşılaştırma

RouterOS, cihaz tipine ve kullanım senaryosuna göre dört temel mod tanımlar:

Modlara Göre Özellik İzinleri

Konfigürasyon ve CLI Kullanımı

Device Mode ayarları yalnızca komut satırı (CLI) üzerinden görüntülenir ve yönetilir.

Mevcut Durumu Görüntüleme

Aktif modu ve izin verilen servisleri denetlemek için:

/system/device-mode/print

Çıktı; aktif modu, izlenen parametreleri ve deneme sayacını listeler.

Mod ve Tekil Özellik Güncelleme

Hazır bir mod seçilebileceği gibi belirli servisler tek tek de açılıp kapatılabilir. Örneğin Advanced modda çalışırken Container desteğini etkinleştirmek için:

/system/device-mode/update container=yes

Komut çalıştırıldığında CLI şu uyarıyı verir:

update: please activate by turning power off or pressing reset or mode button in 5m00s

Bu andan itibaren 5 dakika içinde güç kablosu çıkarılıp takılmalı ya da donanım butonuna basılmalıdır.

Kritik Not: mode parametresiyle yapılan güncellemeler, daha önce tanımlanmış özellik bazlı ayarları sıfırlar ve yeni modun varsayılanlarını uygular. Yalnızca tekil bir özellik güncellendiğinde mevcut mod korunur.

Gelişmiş Güvenlik Mekanizmaları

Allowed Versions

Device Mode, allowed-versions parametresiyle MikroTik tarafından güvenli olduğu onaylanmış RouterOS sürümlerinin listesini tutar. Amaç, saldırganın cihazı bilinen zafiyetler barındıran eski bir sürüme düşürmesini (downgrade) engellemektir. Sürüm düşürülse dahi bu liste korunur; install-any-version=yes yapılmadıkça alt sürümlere geçiş kısıtlı kalır.

Flagged Status

RouterOS, sistem açılışında tüm konfigürasyonu tarayarak yetkisiz erişim veya zararlı betik izlerini arar. Şüpheli bir durum tespit edilirse sistem durumu flagged=yes olarak ayarlanır:

• Zararlı kurallar ve servisler otomatik olarak devre dışı bırakılır.
• Sistem çalışmaya devam eder; ancak Scheduler, SOCKS Proxy, L2TP, PPTP, IPsec ve Sniffer alanlarında yeni kural veya yapılandırma eklenemez.
• Ekleme denendiğinde failure: configuration flagged hatası döner.

Flagged durumundan çıkış:

1. Cihazda tam bir güvenlik denetimi yapılmalı ve tüm parolalar değiştirilmelidir.
2. İşletim sistemi en güncel sürüme yükseltilmelidir.
3. /system/device-mode/update flagged=no komutu çalıştırılarak donanımsal onay (güç kesme veya buton) verilmelidir.

Sonuç ve En İyi Uygulamalar

Device Mode, MikroTik ağ güvenliğinde bir paradigma değişimini temsil eder: yetki, artık cihaz üzerindeki fiili erişimle sınanır. Saha kurulumundan önce cihaz taranmalı ve kullanılmayacak tüm servisler — Fetch, Email, Hotspot, SOCKS Proxy ve benzerleri — Device Mode seviyesinde kilitlenmelidir. Sistem bütünlüğünü korumanın en etkili savunma hattı budur.