Forgalom mérés,naplózás,figyelmeztetés,(ids) nagyobb hálózatra

Üdv,

Volna egy nagyobbacska (kb 10 db /24-es alháló) hálózat, ahol a routereken átmenő forgalmat
per IP alapon monitorozni kellene. Tekintve, hogy Mikrotik CCR 1009 routerekből és Dell managelhető
switchekből álló hálózatról van szó nem okoz problémát a csomagok átadása egy dedikált portra
feldolgozásra/elemzésre. (aka. port mirroring switchen/mikrotiken vagy traffic-flow/netflow a mikrotiken)

Utólag felmerült az esetleges IDS elemzés is csak hogy tuti legyen a dolog. :D

Pár kört már futottam a témában és találtam is használhatónak tűnő megoldást...
A kérdés az volna, hogy tudtok-e esetleg jobbat.

• 1. Mikrotik / Simple queue + Graph
  Kipróbáltam, működik egyenlőre túl nagy CPU overhead-et nem mértem,
  de nem is volt túl nagy forgalom rajta. Valószínűsítem, hogy a PPS emelkedésével
  nem elhanyagolható méretben nőne a CPU terhelés is, amit nem szeretnék.
  További hátránya, hogy semmiféle figyelmeztetést nem tud küldeni max scriptelgetve.
• 2. Mikrotik / Simple queue + nagios/icinga v. cacti
  A grafikonozás feladatát levettük a Mikrotikről de azért így is sok lehet az a 2500+ queue.
• 3. Mikrotik / traffic-flow + ntopng
  A router mentesült a legtöbb feladatától és egy dedikált gép végzi az elemzést. Egész szimpatikus.
  Figyelmeztetést ez se küld persze de legalább a forgalmakat és statisztikákat ehető formában adja.
  IDS funkciója persze nincs.
• 4. Mikrotik / port mirror + ntopng + IDS
  Ntopng és az IDS becsücsül szépen egy dedikált gépen promisc módba és teszi a dolgát.
  Grafikonok vannak / statisztika okés / figyelmeztetés ha nagy forgalom van .... na az nincs.
  Viszont van némi IDS funkcióra lehetőség mondjuk Snort vagy más hasonló termék segítségével.

Nekem eddig a 4. megoldás tűnt az életképesnek és használhatónak.
Morfondírozok még a mostanában egyre "trendibb" ELK megoldásokon is.

Még IDS rendszerből is van egész használható és pofás.
https://www.stamus-networks.com/open-source/#selks

ui: tudom rendszergazdának elég a konzol is, de a megoldás nem rendszergazdának kell hanem
egyszeri üzemeltetőnek, aki könnyen átláthatóan akarja az adatokat és nem fekete háttéren/szuperzőőőd betűvel :D Eyecandy forewer :D