RouterOS jako sensor IDS

Article View: pl.comp.sieci

Article #57185

#57185

From: Andrzej W.
Date: Wed, 01 Nov 2017 19:53

22 lines
1984 bytes

Cześć,

Mam Mikrotika na krawędzi sieci i chciałbym sobie przeanalizować ruch 
przez niego przechodzący.
RouterOS pozwala wysłać kopię ruchu w formacie TaZmen Sniffer Protocol 
(TZSP) do zewnętrznego serwera.
Mikrotik udostępnia też program trafr, który może przekształca dane z 
formatu TZSP do raw packet.
Dane te można strumieniować do jakiegoś systemu IDS w celu analizy.

Zastanawiam się czy nie było by lepiej "wpuścić" te dane do interfejsu 
tap na maszynie na której jest system IDS. Do interfejsu sieciowego może 
być podłączony nie tylko system IDS ale też jakieś inne analizatory itp. 
co w wypadku przekierowanego do programu strumienia nie jest chyba takie 
łatwe.

Czy widzicie jakieś zalety takiego rozwiązania, a przede wszystkim jakie 
są wady/niebezpieczeństwa wpuszczenia kopi ruchu z odległego 
zewnętrznego interfejsu na interfejs TAP komputera wewnątrz sieci lokalnej?

-- 
AWa.

Technical Details

Message-ID: <59fa2654$0$5149$65785112@news.neostrada.pl>

Path:

mbox-mo1.pugleaf.net!news-archive.icm.edu.pl!news.icm.edu.pl!news.nask.pl!news.nask.org.pl!news.unit0.net!peer02.am4!peer.am4.highwinds-media.com!peer01.fr7!futter-mich.highwinds-media.com!news.highwinds-media.com!newsfeed.neostrada.pl!unt-exc-01.news.neostrada.pl!unt-spo-a-02.news.neostrada.pl!news.neostrada.pl.POSTED!not-for-mail

Show Full Headers

Complete Article Headers

Path: mbox-mo1.pugleaf.net!news-archive.icm.edu.pl!news.icm.edu.pl!news.nask.pl!news.nask.org.pl!news.unit0.net!peer02.am4!peer.am4.highwinds-media.com!peer01.fr7!futter-mich.highwinds-media.com!news.highwinds-media.com!newsfeed.neostrada.pl!unt-exc-01.news.neostrada.pl!unt-spo-a-02.news.neostrada.pl!news.neostrada.pl.POSTED!not-for-mail
From: "Andrzej W." <awa_wp@na_wp_oczywiscie.pl>
Subject: RouterOS jako sensor IDS
Newsgroups: pl.comp.sieci
X-Mozilla-News-Host: news://news://news.tpnet.pl:119
Date: Wed, 1 Nov 2017 20:53:56 +0100
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Thunderbird/52.2.1
MIME-Version: 1.0
Lines: 22
Message-ID: <59fa2654$0$5149$65785112@news.neostrada.pl>
Organization: Telekomunikacja Polska
NNTP-Posting-Host: 178.42.45.4
X-Trace: 1509566036 unt-rea-a-01.news.neostrada.pl 5149 178.42.45.4:53176
X-Complaints-To: abuse@news.neostrada.pl
X-Received-Body-CRC: 3991435306
X-Received-Bytes: 1901
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit