MikroTik
Logging, SNMP & Traffic-Flow

Ένας router που δεν μπορείς να δεις μέσα του είναι ένας router που δεν μπορείς να κάνεις troubleshoot — και ένα breach που θα μάθεις από κάποιον άλλον. Αυτό είναι το observability stack του RouterOS: σωστή ώρα πρώτα, μετά remote syslog ώστε τα logs να επιβιώνουν ένα reboot, SNMPv3 για υγεία, και Traffic-Flow για να δεις τι πραγματικά διασχίζει το καλώδιο. Το post observability της Cisco, σε RouterOS.

MikroTik RouterOS Syslog SNMP NetFlow

Το observability είναι τέσσερα ανεξάρτητα feeds, και χτίζονται το ένα πάνω στο άλλο. Το NTP έρχεται πρώτο γιατί ένα log με λάθος timestamp είναι χειρότερο από κανένα log — δεν μπορείς να συσχετίσεις σε πολλές συσκευές χωρίς συγχρονισμένα ρολόγια. Το remote syslog στέλνει events εκτός box ώστε να ζουν περισσότερο από ένα reboot ή ένα wipe (το RouterOS κρατά logs σε RAM by default — εξαφανίζονται στο restart). Το SNMPv3 εκθέτει μετρητές interface, CPU, και θερμοκρασία σε σύστημα monitoring. Το Traffic-Flow (το export NetFlow/IPFIX του MikroTik) σου λέει όχι μόνο πόση κίνηση αλλά ποιες συνομιλίες — η διαφορά ανάμεσα σε «το link είναι γεμάτο» και «το link είναι γεμάτο γιατί ένας host κάνει seed torrents».

Ίδιοι τέσσερις πυλώνες με το Cisco IOS: Observability (NTP, Syslog, SNMP, NetFlow), και τροφοδοτούν τους ίδιους collectors — δείξε RouterOS και IOS σε έναν syslog server και έναν flow collector και το estate φαίνεται ενιαίο.

Προαπαιτουμενα

Ένας collector host προσβάσιμος στο δίκτυο management (syslog + flow + SNMP poller)
Η θωρακισμένη input chain — έκθεσε αυτές τις υπηρεσίες μόνο στο subnet mgmt

Ωρα Πρωτα — NTP

Κάν' το αυτό πριν από οτιδήποτε άλλο. Κάθε log, κάθε έλεγχος πιστοποιητικού, κάθε προγραμματισμένο script εξαρτάται από το να είναι σωστό το ρολόι.

Terminal — συγχρονισε το ρολοι, βαλε τη ζωνη

> /system ntp client set enabled=yes servers=time.google.com,gr.pool.ntp.org
> /system clock set time-zone-name=Europe/Athens
> /system ntp client print   # status: synchronized

Remote Syslog — Logs Που Επιβιωνουν ενα Reboot

Το RouterOS κάνει log σε μνήμη by default — ένα reboot τα σβήνει, και η πρώτη κίνηση ενός επιτιθέμενου είναι ένα reboot. Στείλε τα σημαντικά topics σε έναν syslog server και είναι πέρα από την εμβέλεια του router.

Terminal — μια action remote, μετα κανονες που τη χρησιμοποιουν

# Όρισε ΠΟΥ πηγαίνουν τα logs (ο collector syslog σου):
> /system logging action add name=syslog target=remote remote=10.10.99.10 remote-port=514

# Στείλε σε αυτόν τα topics που έχουν σημασία. Firewall + auth είναι τα security.
> /system logging add topics=info action=syslog
> /system logging add topics=critical,error,warning action=syslog
> /system logging add topics=account action=syslog   # events login
# Tip: κάνε log τα dropped-input hits του firewall προσθέτοντας log=yes στον κανόνα drop.

◆ Καν' τα Logins Log

Το topic account καταγράφει ποιος έκανε login, από πού, και πότε — το πιο χρήσιμο security feed που παράγει ένας router. Σε συνδυασμό με το logging drop-rule του firewall, ένας remote syslog server σου δίνει μια εγγραφή ανθεκτική σε παραποίηση και για το «ποιος άγγιξε το box» και για το «ποιος προσπάθησε να το φτάσει». Σε έναν συμβιβασμένο router το τοπικό log δεν είναι αξιόπιστο· το αντίγραφο στον syslog server είναι αυτό με το οποίο ερευνάς.

SNMPv3 — Υγεια Χωρις τον Κινδυνο v2c

Το SNMP τροφοδοτεί τα dashboards σου με μετρητές interface, CPU, μνήμη, και θερμοκρασία. Χρησιμοποίησε v3 με authentication και privacy — τα community strings v1/v2c είναι ακριβώς η αδυναμία που εκμεταλλεύονται τα επιθετικά posts.

Terminal — ενας χρηστης authPriv v3, δεμενος στο poller

> /snmp community add name=sp1r4-v3 \
    security=private \
    authentication-protocol=SHA1 authentication-password="auth-pass-here" \
    encryption-protocol=AES encryption-password="priv-pass-here" \
    addresses=10.10.99.10/32
> /snmp set enabled=yes contact="noc@example.com" location="Core Rack" \
    trap-version=3

⚠ Παγιδα — Μην Αφησεις το Default Community public

Το να ενεργοποιήσεις SNMP αφήνει στη θέση του ένα default community v1/v2c με όνομα public. Όποιος μπορεί να φτάσει το UDP 161 μπορεί τότε να διαβάσει ολόκληρη τη συσκευή σου — ονόματα interface, διευθύνσεις, routes — χωρίς password. Απενεργοποίησέ το ή μετονόμασέ το, περιόρισε το SNMP στη διεύθυνση του poller (όπως παραπάνω), και προτίμησε ξεκάθαρα v3. Αυτή είναι η εκδοχή RouterOS του finding SNMP που εμφανίζεται σε κάθε network pentest· το επιθετικό περπάτημα είναι στο Επιθεσεις σε MikroTik Εξοπλισμο.

Traffic-Flow — Δες τις Συνομιλιες

Οι μετρητές σου λένε ότι ένα link είναι απασχολημένο· το export flow σου λέει ποιος το κάνει απασχολημένο. Το Traffic-Flow είναι το NetFlow/IPFIX του MikroTik — ενεργοποίησέ το, δείξ' το σε έναν collector, και κάθε συνομιλία γίνεται queryable.

Terminal — ενεργοποιησε export flow σε collector

> /ip traffic-flow set enabled=yes interfaces=all \
    cache-entries=64k active-flow-timeout=1m
# Στείλε στον collector NetFlow/IPFIX σου. version=9 ή ipfix για v6/labels.
> /ip traffic-flow target add dst-address=10.10.99.10 port=2055 version=9
# Τώρα οι "top talkers", η χρήση ανά-host, και η ανίχνευση ανωμαλιών έρχονται από
# τον collector, όχι μαντεψιά. Φοβερό για να εντοπίσεις ένα μολυσμένο host.

Βασικα Συμπερασματα

NTP πρώτα, πάντα. Ένα λάθος ρολόι κάνει κάθε άλλο log άχρηστο για συσχέτιση.
Το RouterOS κάνει log σε RAM — στείλ' τα εκτός box. Το remote syslog είναι το μόνο αντίγραφο που επιβιώνει ένα reboot ή έναν επιτιθέμενο.
Κάν' το topic account και τα drops firewall log — ποιος έκανε login και ποιος γύρισε πίσω είναι τα feeds security μεγαλύτερης αξίας σου.
SNMPv3 authPriv, δεμένο στο poller. Σκοτωσε το default community public — είναι δωρεάν ανάγνωση όλης της συσκευής.
Το Traffic-Flow δείχνει συνομιλίες, όχι μόνο όγκο — ο γρήγορος δρόμος από «το link είναι γεμάτο» σε «αυτός ο host είναι ο λόγος».
Δείξε RouterOS και IOS στους ίδιους collectors ώστε ένα μεικτό estate να διαβάζεται σαν ένα σύστημα.

Προβληματα δικτυου που μαθαινεις μονο απο θυμωμενους επισκεπτες;

Εξοπλίζω δίκτυα MikroTik και Cisco με συγχρονισμένη ώρα, logging εκτός box, dashboards SNMP, και ορατότητα flow, στοχεύοντας σε ένα πράγμα: να βλέπεις εσύ το πρόβλημα πριν σε πάρει τηλέφωνο η ρεσεψιόν να σου το πει.

Κλεισε μια Discovery Call →