Да, можно отправлять журналы устройства MikroTik в систему управления информацией и событиями безопасности (SIEM). Этот процесс помогает централизовать управление журналами и выполнить более глубокий анализ событий безопасности и других сетевых данных.

Объясняем, как это сделать:

Настройки в МикроТике

1. Включить систему журналов:
   • В MikroTik RouterOS сначала убедитесь, что система журналирования настроена на фиксацию нужных событий. Это можно сделать из System > Logging. Здесь вы можете указать, какие темы журнала должна записывать система.
2. Настройка доставки журналов:
   • Удаленное ведение журнала: MikroTik позволяет отправлять логи на удаленный сервер по протоколу Syslog. Установите эту опцию на System > Logging добавление нового действия (Action) типа remote.
   • Детали конфигурации:
     • Имя: присваивает действию имя.
     • цель: указывает IP-адрес SIEM-сервера.
     • Удаленный порт: настраивает удаленный порт, обычно 514, для системного журнала.
     • Объект: выберите соответствующий объект в соответствии с классификацией журналов на SIEM-сервере.
3. Свяжите правила журнала с действием отправки:
   • Свяжите определенные правила ведения журнала с созданным действием удаленного ведения журнала, чтобы журналы отправлялись на SIEM-сервер.

Рекомендации по использованию SIEM

1. SIEM-конфигурация:
   • Убедитесь, что ваша SIEM-система настроена на получение и обработку журналов от MikroTik. Это может включать настройку соответствующих парсеров для интерпретации форматов журналов, специфичных для MikroTik.
2. Безопасность и надежность:
   • Подумайте о безопасности транспортировки журналов. Хотя системный журнал является распространенным, его стандартная версия не шифрует данные, что может представлять опасность, если журналы содержат конфиденциальную информацию. Оцените использование системного журнала через TLS, если ваш SIEM поддерживает его.
   • Убедитесь, что сеть между MikroTik и SIEM надежна, чтобы избежать потери данных журналов.
3. Анализ и корреляция:
   • После получения журналов SIEM вы можете использовать его инструменты для выполнения анализа, корреляции событий и оповещений на основе аномальных моделей трафика или других индикаторов компрометации.

Отправка журналов MikroTik в SIEM — отличная практика для улучшения видимости сетевой безопасности и реагирования на инциденты. Это не только централизует управление журналами, но и расширяет возможности обнаружения угроз и реагирования на них в вашей сетевой инфраструктуре.