SISTEMAS MONITORADOS · CONHECIMENTO COMPARTILHADO DEFESA COMEÇA COM INFORMAÇÃO
K KerberosTechCibersegurança sem mistério

Artigo

Do laboratório
André Bueno

Guia Prático de Hardening em MikroTik: Como Blindar Seu Roteador RouterOS

O MikroTik RouterOS é um dos sistemas operacionais de rede mais versáteis e utilizados em provedores de internet, pequenas e médias empresas. No entanto, por vir configurado de fábrica com políticas permissivas e portas de gerenciamento abertas por padrão, roteadores MikroTik mal configurados tornam-se alvos fáceis para varreduras automatizadas, ataques de força bruta, infecção por botnets e sequestro de infraestrutura.

O processo de hardening consiste em endurecer a segurança do dispositivo, fechando brechas, desativando serviços desnecessários e aplicando camadas restritivas de acesso. Acompanhe o passo a passo técnico para blindar seu MikroTik.

Passo 1: Alteração de Credenciais e Remoção do Usuário Padrão

O primeiro erro crítico de segurança é manter o usuário padrão admin com senha vazia ou fraca.

  1. Acesse o roteador via WinBox ou SSH.

  2. Crie um novo usuário com privilégios administrativos totais:

    Plaintext
    /user add name=seu_usuario_seguro group=full password=SuaSenhaForte123!

  3. Feche a sessão atual e faça login com o novo usuário criado.

  4. Desative ou remova o usuário padrão admin:

    Plaintext
    /user disable admin

Passo 2: Proteção do Plano de Gerenciamento (Services)

Por padrão, o RouterOS expõe serviços de acesso remoto em portas bem conhecidas. O ideal é alterar essas portas ou desativar o que não for utilizado.

  1. Altere as portas padrão dos serviços de administração (ex: mude o SSH para 2222 e o WinBox para 8291 customizado):

    Plaintext
    /ip service set ssh port=2222
/ip service set winbox port=8291

  2. Desative completamente serviços obsoletos ou inseguros que não utilize (como Telnet, FTP, WWW/HTTP sem SSL e API):

    Plaintext
    /ip service disable telnet,ftp,www,api

  3. Restrinja o acesso por IP (Whitelisting): Permita que apenas endereços IP confiáveis (como a sua rede interna ou VPN administrativa) possam acessar as portas de gerência:

    Plaintext
    /ip service set winbox address=192.168.88.0/24
/ip service set ssh address=192.168.88.0/24

Passo 3: Fechamento da Borda e Regras de Firewall (Input Chain)

O firewall do MikroTik é a principal barreira contra ataques vindos da internet pública (WAN). Por padrão, se nenhuma regra for criada, o tráfego externo pode tentar interagir com o roteador.

Configure regras estritas na cadeia input para proteger o próprio roteador:

Plaintext
/ip firewall filter
# 1. Permitir conexões já estabelecidas e relacionadas
add chain=input action=accept connection-state=established,related comment="Aceitar conexoes estabelecidas"

# 2. Permitir tráfego vindo estritamente da rede local (LAN)
add chain=input action=accept in-interface=ether2-LAN comment="Permitir gerencia interna LAN"

# 3. Aceitar requisições ICMP (Ping) limitadas para diagnóstico
add chain=input action=accept protocol=icmp limit=50/5s,s:1packet comment="Limitar ICMP"

# 4. Bloquear todo o restante do tráfego de entrada direcionado ao roteador (Default-Deny)
add chain=input action=drop in-interface=ether1-WAN comment="Bloquear restante da WAN"

Passo 4: Proteção contra Ataques de Força Bruta (Port Knocking / Address Lists)

Para mitigar tentativas repetidas de adivinhação de senha nas portas de acesso expostas, utilize listas de endereços dinâmicas para banir IPs maliciosos automaticamente:

Plaintext
/ip firewall filter
add chain=input protocol=tcp dst-port=2222 connection-state=new \
    src-address-list=ssh_bloco_temp action=drop comment="Bloquear IP banido temporariamente"

add chain=input protocol=tcp dst-port=2222 connection-state=new \
    recent-dst-addresses=yes recent-count=3 recent-time=30s \
    action=add-src-to-address-list address-list=ssh_bloco_temp address-list-timeout=1h \
    comment="Banir IP apos 3 tentativas de SSH em 30 segundos"

Passo 5: Desativação de Serviços e Recursos Desnecessários

Para reduzir a superfície de ataque do roteador, desative recursos de descoberta de rede e serviços de camada 2 que podem vazar informações da sua topologia para redes públicas ou corporativas:

  1. Desative o MAC Server (Neighbor Discovery):

    Plaintext
    /tool mac-server set allowed-interface-list=none
/tool mac-server mac-winbox set allowed-interface-list=none
/tool mac-server ping set enabled=no

  2. Desative o IP Neighbor Discovery (IP ND) nas interfaces WAN:

    Plaintext
    /ip neighbor discovery-settings set discover-interface-list=!WAN

  3. Desative o serviço de Proxy SOCKS, DNS Proxy (se não for utilizado como resolvedor público) e UPnP:

    Plaintext
    /ip proxy set enabled=no
/ip upnp set enabled=no

Passo 6: Atualização Constante do RouterOS (Patch Management)

Vulnerabilidades críticas de execução remota de código (RCE) em dispositivos MikroTik são descobertas periodicamente por pesquisadores e exploradas por cibercriminosos.

  1. Verifique se o sistema está na versão mais recente e estável (Long-term ou Stable):

    Plaintext
    /system package update check-for-updates

  2. Mantenha a política de atualizar o firmware interno (RouterBOOT) após atualizar o RouterOS:

    Plaintext
    /system routerboard upgrade

    (Reinicie o equipamento para aplicar as alterações).

Conclusão

O hardening de um roteador MikroTik transforma um dispositivo vulnerável em uma fortaleza perimetral. A segurança de redes exige disciplina: alterar padrões de fábrica, restringir acessos administrativos e manter o firmware atualizado são atitudes obrigatórias para qualquer administrador de redes consciente.