Oui, il est possible d'envoyer les journaux d'un appareil MikroTik à un système de gestion des informations et des événements de sécurité (SIEM). Ce processus permet de centraliser la gestion des journaux et d'effectuer une analyse plus approfondie des événements de sécurité et d'autres données réseau.

Nous vous expliquons comment procéder :

Paramètres dans MikroTik

1. Activer le système de journalisation:
   • Dans MikroTik RouterOS, assurez-vous d'abord que le système de journalisation est configuré pour capturer les événements souhaités. Cela peut être fait à partir de System > Logging. Ici, vous pouvez ajuster les sujets de journal que vous souhaitez que le système enregistre.
2. Configurer l'envoi de journaux:
   • Journalisation à distance: MikroTik permet d'envoyer des logs à un serveur distant en utilisant le protocole Syslog. Définissez cette option sur System > Logging ajouter une nouvelle action (Action) de type remote.
   • Détails de configuration:
     • Nom: Attribue un nom à l'action.
     • Target: Spécifie l'adresse IP du serveur SIEM.
     • Port distant: configure le port distant, généralement 514 pour Syslog.
     • Facilité: Choisissez l'installation correspondante en fonction de la classification des logs sur le serveur SIEM.
3. Associer des règles de journal à l'action de soumission:
   • Liez les règles de journalisation spécifiques à l'action de journalisation à distance créée, afin que les journaux soient envoyés au serveur SIEM.

Considérations pour le SIEM

1. Configuration SIEM:
   • Assurez-vous que votre système SIEM est configuré pour recevoir et traiter les journaux de MikroTik. Cela peut inclure la configuration d'analyseurs appropriés pour interpréter les formats de journaux spécifiques à MikroTik.
2. Sécurité et fiabilité:
   • Pensez à la sécurité du transport des grumes. Bien que Syslog soit courant, sa version standard ne crypte pas les données, ce qui pourrait constituer un risque si les journaux contiennent des informations sensibles. Évaluez l'utilisation de Syslog sur TLS si votre SIEM le prend en charge.
   • Assurez-vous que le réseau entre MikroTik et le SIEM est fiable pour éviter la perte de données de journal.
3. Analyse et corrélation:
   • Une fois les journaux reçus par le SIEM, vous pouvez utiliser ses outils pour effectuer des analyses, des corrélations d'événements et des alertes basées sur des modèles de trafic anormaux ou d'autres indicateurs de compromission.

L'envoi de journaux MikroTik à un SIEM est une excellente pratique pour améliorer la visibilité de la sécurité du réseau et la réponse aux incidents. Cela centralise non seulement la gestion des journaux, mais améliore également les capacités de détection et de réponse aux menaces dans votre infrastructure réseau.