Dúvida regras de segurança firewall

Bom dia pessoal!!

Sou iniciante no MK, então estou aprendendo... Configurei um balance em uma RB750 para colocar em um cliente(empresa). Esta parte está OK e em pleno funcionamento. Mas tenho dúvidas quanto as regras básicas para maior segurança. Não quero nada muito avançado pois é uma empresa de pequeno porte.

O básico que ja fiz:
bloqueio de ips que rodarem um portscan
desabilitei serviços que não vou utilizar (deixei somente www e winbox no IP->SERVICES, com acesso externo liberado apenas para meu ip)

Se puderem dar um feedback, se isso basta ou preciso muito mais coisas, agradeço.. pois como disse sou iniciante

E se já tiver tópicos sobre isso, desconsiderem.


Muito obrigado!!

Boa tarde,

Amigo, indico você a assistir os videos do Wissam Qemel no youtube, o garoto entende muito e ele tem um video falando sobre regras de firewall.

Bom,
regras de firewall requer estudo de topologia etc, etc...

Mais se o intuito é proteger a caixa , digo a rb750; 3, 4 regrinhas resolve teu problema.

/ip firewall filter
# ACEITA OSPF
add action=accept chain=input protocol=ospf

# ADD PORTSCANERS NUMA ADDRESS LIST CHAMADA BLOQUEIO PROT (TCP)

add action=add-src-to-address-list address-list=bloqueio address-list-timeout=\
1w3d chain=input protocol=tcp psd=21,3s,3,1 src-address-list=!PERMIT_ALLOW

# ADD PORTSCANERS NUMA ADDRESS LIST CHAMADA BLOQUEIO PROT (UDP)
add action=add-src-to-address-list address-list=bloqueio address-list-timeout=\
1w3d chain=input protocol=udp psd=21,3s,3,1 src-address-list=!PERMIT_ALLOW

# BLOQUEIA IPS DA ADDRESS LIST (BLOQUEIO)
add action=drop chain=input src-address-list=bloqueio
add action=drop chain=input dst-address-list=bloqueio

# ACEITA CONEXÕES DE ENTRADA ESTABELECIDAS E RELACIONADAS
add action=accept chain=input connection-state=established,related

# BLOQUEIA CONEXÕES INVALIDAS
add action=drop chain=input connection-state=invalid

# BLOQUEIA ATAQUE REPLICAÇÃO DE DNS
add action=drop chain=input connection-state=new dst-port=53 protoco

# ACEITA WINBOX NA PORTA 8291
add action=accept chain=input dst-port=8291 protocol=tcp

# BLOQUEIA TRANSITO DE NEIGHBOR'S
add action=drop chain=forward dst-port=5678 protocol=udp

# ACEITA CONEXÕES DE TRANSITO ESTABELECIDAS E RELATADAS
add action=accept chain=forward connection-state=established,related

# BLOQUEIA CONEXÕES DE TRANSITO INVALIDAS
add action=drop chain=forward connection-state=invalid

# BLOQUEIA TUDO COM DESTINO DE ENTRADA NA ROUTERBOARD
add action=drop chain=input

#=============================================================#

Essas regras a cima são suficientes para dar segurança a caixa. o trafego de passagem, de transito; não será afetado.

A regras de firewall que vêm na configuração padrão quando reseta o Mikrotik são boas para pequenas empresas