Sí, és possible enviar els logs d'un dispositiu MikroTik a un sistema de gestió d'informació i esdeveniments de seguretat (SIEM). Aquest procés ajuda a centralitzar la gestió de logs ia fer una anàlisi més profunda dels esdeveniments de seguretat i altres dades de la xarxa.

T'expliquem com fer-ho:

Configuració a MikroTik

1. Habilitar el sistema de logs:
   • A MikroTik RouterOS, primer assegureu-vos que el sistema de log està configurat per capturar els esdeveniments desitjats. Això es pot fer des de System > Logging. Aquí pots ajustar quins temes (topics) de log vols que el sistema registri.
2. Configurar l'Enviament de Logs:
   • Registre remot: MikroTik permet enviar logs a un servidor remot utilitzant el protocol Syslog. Configura aquesta opció a System > Logging afegint una nova acció (Action) de tipus remote.
   • Detalls de Configuració:
     • Nom: Assigna un nom a l'acció.
     • Objectiu: Especifica l'adreça IP del servidor SIEM.
     • Port remot: Configura el port remot, usualment el 514 per a Syslog.
     • Facilitat: Tria la facility que correspongui segons la classificació dels logs al servidor SIEM.
3. Associa Regles de Log amb l'Acció d'Enviament:
   • Vincula les regles de log específiques amb l'acció de remote logging creada, perquè els logs siguin enviats al servidor SIEM.

Consideracions per al SIEM

1. Configuració del SIEM:
   • Assegureu-vos que el vostre sistema SIEM estigui configurat per rebre i processar logs de MikroTik. Això pot incloure la configuració de parsers adequats per interpretar els formats de logs específics de MikroTik.
2. Seguretat i Fiabilitat:
   • Considera la seguretat del transport de logs. Encara que Syslog és comú, la seva versió estàndard no xifra les dades, cosa que podria ser un risc si els logs contenen informació sensible. Avalua l'ús de Syslog sobre TLS si el teu SIEM ho suporta.
   • Assegureu-vos que la xarxa entre MikroTik i el SIEM és fiable per evitar la pèrdua de dades de log.
3. Anàlisi i Correlació:
   • Quan els logs estan sent rebuts pel SIEM, pots utilitzar les seves eines per realitzar anàlisi, correlació d'esdeveniments i alertes basades en patrons de trànsit anormal o altres indicadors de compromís.

Enviar logs de MikroTik a un SIEM és una pràctica excel·lent per millorar la visibilitat de la seguretat de la xarxa i la resposta a incidents. Això no només centralitza la gestió de logs sinó que també potencia les capacitats de detecció i resposta davant d'amenaces a la teva infraestructura de xarxa.