วิธีตั้งค่า MikroTik เก็บ Log ให้ถูกต้องตาม พ.ร.บ. คอมพิวเตอร์ 90 วัน

เช้าวันจันทร์เมื่อ 3 เดือนก่อน โทรศัพท์ผมดังขึ้นตั้งแต่ยังไม่แปดโมง ปลายสายเป็นเสียงสั่นๆ ของฝ่าย IT บริษัทลูกค้าแห่งหนึ่ง เขาบอกผมว่า "พี่ครับ มีตำรวจไซเบอร์ถือหนังสือมาขอตรวจสอบ Log อินเทอร์เน็ต ย้อนหลังไปเมื่อสองเดือนก่อน แต่พอผมเปิดดูใน WinBox ข้อมูลใน RouterOS มันว่างเปล่าเลยพี่!"

ฟังแล้วผมถอนหายใจยาวทันที เพราะนี่ไม่ใช่รายแรกที่เจอแจ็กพอตแบบนี้ หลายคนเข้าใจผิด คิดว่าซื้อ MikroTik มาต่อเน็ตแล้ว ตัวมันจะเก็บข้อมูลจราจรทางคอมพิวเตอร์ย้อนหลัง 90 วันให้เองโดยอัตโนมัติ หรือบางคนหนักกว่านั้น คือแอบไปเปิดสั่งให้บันทึก Log ลงใน Flash Memory ของกล่อง MikroTik ตรงๆ จนหน่วยความจำเต็ม Router แฮงค์ หรือหน่วยความจำพังไปเลยก็มี

ในฐานะที่ผมดูแลระบบ Network Infrastructure ให้กับ SIAM-LOGIN มาหลายร้อยเคส วันนี้ผมจะมาแชร์วิธีตั้งค่า MikroTik เก็บ Log อินเทอร์เน็ตให้ถูกต้องตาม พ.ร.บ. คอมพิวเตอร์ แบบจับมือทำ อ่านจบแล้วเอาไปคอนฟิกตามใน WinBox ได้ทันทีครับ

ทำไมห้ามเก็บ Log ย้อนหลัง 90 วัน ลงในตัว MikroTik โดยตรง?

ก่อนจะเริ่มคอนฟิก ผมอยากสร้างความเข้าใจตรงกันก่อนครับว่า เหตุใดเราถึงไม่ควรบันทึกข้อมูลลงใน Flash storage ของตัว Router โดยตรง

• พื้นที่เก็บข้อมูลมีจำกัดมาก: MikroTik RouterBoard ส่วนใหญ่มีหน่วยความจำ Flash เพียง 16MB ถึง 128MB เท่านั้น การบันทึก NAT connection logs ของคนใช้งานแค่ 20-30 คน เพียงแค่วันเดียวก็ใช้พื้นที่เต็มแล้วครับ
• เสี่ยงทำให้ชิป Flash พังเสียหาย: ชิป NAND Flash มีจำนวนครั้งในการเขียนข้อมูล (Write Cycles) จำกัด การเขียน Log ต่อเนื่องตลอด 24 ชั่วโมงจะทำให้ชิปเสื่อมสภาพอย่างรวดเร็วและ Router เสียหายในที่สุด
• ไฟดับแล้วข้อมูลหาย: หากเก็บไว้ใน RAM หรือ Flash ชั่วคราว เมื่อเกิดเหตุไฟฟ้าดับ หรือมีการ reboot กล่อง MikroTik ข้อมูล Log ทั้งหมดจะสูญหายทันที ซึ่งผิดกฎหมายเต็มๆ

ทางออกที่ถูกต้องตามหลักเกณฑ์กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (DE) คือการตั้งค่าให้ MikroTik ทำหน้าที่เป็นผู้ส่งข้อมูล (Syslog Client) ออกไปบันทึกไว้ยัง Syslog Server ภายนอก หรือใช้บริการ Centralized Log Management ที่ได้รับการรับรองครับ

3 ขั้นตอนการตั้งค่า MikroTik ส่ง Syslog เก็บ Log ย้อนหลัง 90 วัน

การคอนฟิกเพื่อเก็บข้อมูลจราจรทางคอมพิวเตอร์ให้มีความสมบูรณ์ตามกฎหมาย จะต้องมี 3 ส่วนสำคัญหลักๆ คือ เวลาตรง ข้อมูลครบ และส่งออกได้ถูกต้อง ดังนี้ครับ

ขั้นตอนที่ 1: ตั้งค่า NTP Server ให้เวลาแม่นยำตรงตามมาตรฐาน

ตาม พ.ร.บ. คอมพิวเตอร์ Log ที่ใช้เป็นหลักฐานชั้นศาลได้ นาฬิกาของอุปกรณ์ต้องตรงกับเวลามาตรฐานสากล (NTP Time) หากเวลาเพี้ยน Log นั้นจะใช้ยืนยันตัวตนทางกฎหมายไม่ได้เลยครับ

วิธีตั้งค่าใน WinBox ให้ไปที่เมนู System > NTP Client จากนั้นทำการติ๊ก Enable แล้วใส่ Server IP ของประเทศไทย ดังนี้:

• Primary NTP Server: time.navy.mi.th (หรือ pool.ntp.org)
• Secondary NTP Server: clock.nectec.or.th

จากนั้นไปที่ System > Clock ปรับ Time Zone Name ให้เป็น Asia/Bangkok เพื่อให้เวลาตรงกับประเทศไทย (+07:00)

ขั้นตอนที่ 2: ตั้งค่า Syslog Action บน RouterOS เพื่อส่งข้อมูลออกไปภายนอก

ขั้นตอนต่อมาคือการชี้ทางให้ RouterOS รู้ว่า ต้องส่ง Log ข้ามไปยังเครื่อง Syslog Server หรือบริการ Cloud Log ของ SIAM-LOGIN ที่เครื่องไหน

ให้เข้าไปที่เมนู System > Logging เลือกแท็บ Actions แล้วกดเพิ่ม (+) รายการใหม่:

• Name: ตั้งชื่อว่า Remote-Log
• Target: เลือกเป็น remote
• Remote Address: ใส่ IP Address ของเครื่อง Syslog Server ที่คุณเตรียมไว้
• Remote Port: 514 (พอร์ตมาตรฐานของ Syslog UDP)

หลังจากนั้นสลับไปที่แท็บ Rules กดเพิ่ม (+) แล้วเลือก Topics: firewall จากนั้นในช่อง Action ให้เลือกเป็น Remote-Log ที่เราเพิ่งสร้างไว้ เพียงเท่านี้ MikroTik ก็จะพร้อมส่ง Log ออกไปข้างนอกแล้วครับ

ขั้นตอนที่ 3: ตั้งค่า Firewall NAT Rule ให้เริ่มบันทึก Connection Log

เพื่อให้ได้ข้อมูลจราจรทางคอมพิวเตอร์ครบตามที่กฎหมายกำหนด ได้แก่ IP ต้นทาง, Port ต้นทาง, IP ปลายทาง, Port ปลายทาง และ Timestamp เราจะต้องสั่งให้ IP Firewall NAT ทำการ Log สัญญาณการเชื่อมต่อครับ

ไปที่เมนู IP > Firewall เลือกแท็บ NAT ดับเบิ้ลคลิกที่กฎ srcnat ( outbound rule ที่ใช้ออกเน็ต ) สลับไปที่แท็บ Extra หรือ Action แล้วติ๊กเปิดตัวเลือก Log พร้อมใส่ Log Prefix เช่น NAT-LOG เพื่อให้ค้นหาง่ายขึ้น

ข้อควรระวังและวิธีตรวจสอบว่า Log บันทึกสำเร็จหรือไม่

หลังจากผมตั้งค่าระบบให้ลูกค้าเสร็จ ผมจะทดสอบเสมอว่า Log วิ่งเข้า Server จริงหรือไม่ โดยการเช็กจากหน้า Dashboard ของ Syslog Server หรือดูสถานะ Traffic ออกในพอร์ต UDP 514 บน MikroTik

ข้อควรระวังที่ผมมักเจอผู้รับเหมาหรือไอทีมือใหม่พลาดกันบ่อยๆ คือ:

• ลืมตั้งค่า Log Rotation หรือจัดเก็บดิสก์บน Server: ตัว MikroTik ส่ง Log ออกไปดีแล้ว แต่ตัว Syslog Server ปลายทางดิสก์เต็ม ทำให้เก็บ Log ไม่ถึง 90 วัน
• ลืมระบุตัวตนผู้ใช้งาน (Authentication Log): พ.ร.บ.คอมพิวเตอร์ ระบุว่าต้องจับคู่ได้ว่า IP / MAC Address ขณะนั้นเป็นของใคร ดังนั้นการใช้ระบบ WiFi Hotspot หรือ RADIUS Server ร่วมด้วยจึงเป็นเรื่องจำเป็นมากสำหรับหอพัก ออฟฟิศ และร้านกาแฟ

สรุปแนวทางบริหารจัดการ Log ให้ถูกต้องตาม พ.ร.บ. คอมพิวเตอร์

การ ตั้งค่า MikroTik เก็บ Log ย้อนหลัง 90 วัน ไม่ใช่เรื่องซับซ้อนเกินความสามารถของคนดูแลระบบครับ หัวใจสำคัญคืออย่าเก็บลงในตัวอุปกรณ์โดยตรง ให้ตั้งค่า NTP ให้ตรง แล้วยิง Syslog ไปเก็บไว้ที่ Server ภายนอกที่มีความปลอดภัยสูง

หากองค์กรของคุณไม่มีเครื่อง Server ไว้เก็บ Syslog เอง หรือรู้สึกว่ายุ่งยากในการดูแลระบบดิสก์ย้อนหลัง 90 วัน SIAM-LOGIN เรามีโซลูชัน Centralized Syslog Server และระบบจัดการ WiFi Hotspot ที่พร้อมเชื่อมต่อกับ MikroTik ได้ทันที เซ็ตอัปจบในวันเดียวถูกต้องตามกฎหมาย 100% สอบถามผมและทีมงานได้ตลอดเวลาครับ