Инсталиране на Bro IDS на Fedora 25

Въведение

Bro е анализатор на мрежов трафик с отворен код. Това е преди всичко монитор за сигурност, който инспектира в дълбочина целия трафик на връзка за признаци на подозрителна дейност. По-общо обаче, Bro поддържа широк спектър от задачи за анализ на трафика дори извън домейна на сигурността, включително измервания на производителността и помощ при отстраняване на неизправности.

Предпоставки

Преди да инсталирате Bro, ще трябва да се уверите, че са налице някои зависимости:

Задължителни зависимости

• Libpcap
• OpenSSL библиотеки
• Библиотека BIND8
• Libz
• Bash (за BroControl)
• Python 2.6+ или по-нова версия (за BroControl)

The Sendmailне е задължително, но се препоръчва.

Стъпка 1: Актуализирайте системата

Преди да инсталирате пакети, се препоръчва да актуализирате системните пакети. Изпълнете командата dnf --assumeyes update. Това ще изтегли и инсталира най-новите версии на системните пакети. Мениджърът на пакети автоматично ще отговори с „да“ на предлаганите подкани. Може да отнеме известно време.

Стъпка 2: Инсталирайте зависимости

Ще трябва да инсталирате необходимите пакети на вашата система. Изпълнете следната команда: dnf --assumeyes install libpcap openssl python zlib sendmail

Стъпка 3: Инсталирайте Bro IDS

Команда за изпълнение dnf install --assumeyes bro Тази команда ще се инсталира broв /binдиректорията. И сега нека да го конфигурираме.

Стъпка 4: Конфигурирайте Bro IDS

Създаване на папки: mkdir -p /var/log/broиmkdir -p /var/spool

Конфигуриране на файла node.cfg

Тъй като именуването на интерфейса на Fedora 2x беше променено, нека разберем текущото име на iface:
ls /sys/class/net. Изходът трябва да бъде подобен на този: ens3 lo, или този: eth0 lo. В първия случай ни интересува ens3името на интерфейса, във втория -- eth0. Да приемем, че имаме ens3.

Сега прегледайте файла /etc/bro/node.cfg. Изпълнете команда less /etc/bro/node.cfg. На ред 11 има спецификация на мрежовия интерфейс:
interface=eth0. Ако вашето iface име е eth0-- оставете файла без промени и продължете към следващата стъпка. В противен случай - променете го с ens3. За това изпълнете тази команда: sed -i 's/eth0/ens3'. Опцията -iозначава промяна на файла на място. sще замени стойността, затворена между първата и втората наклонена черта, със стойността между втората и третата.

Конфигуриране на файла broctl.cfg

Добавете променливи към конфигурационния файл:
echo "LibDirInternal = /usr/lib/python2.7/site-packages/BroControl/" >> /etc/bro/broctl.cfg
echo "SpoolDir = /var/spool" >> /etc/bro/broctl.cfg
echo "LogDir = /var/log/bro" >> /etc/bro/broctl.cfg
echo "CfgDir = /etc/bro" >> /etc/bro/broctl.cfg

Стъпка 5: Стартирайте BroCtl

Сега можем да разположим нашия конфигуриран възел и да започнем да регистрираме:

Изпълнете команда broctl deploy. Ще видите изход като този:

cannot get list of local IP addresses
checking configurations ...
installing ...
removing old policies in /var/spool/installed-scripts-do-not-touch/site ...
removing old policies in /var/spool/installed-scripts-do-not-touch/auto ...
creating policy directories ...
installing site policies ...
generating standalone-layout.bro ...
generating local-networks.bro ...
generating broctl-config.bro ...
generating broctl-config.sh ...
updating nodes ...
stopping ...
stopping bro ...
starting ...
starting bro ...

Ако не сте получили никакви грешки - брато е разгърнат.

Стъпка 5: Тествайте вашата инсталация

Сега нека разгледаме логовете: ls -la /var/log/bro. Изходът трябва да бъде подобен на този:

total 12
drwxr-xr-x 3 root root 4096 Jun 13 10:11 .
drwxr-xr-x 1 root root 4096 Jun 13 10:04 ..
drwxr-xr-x 2 root root 4096 Jun 13 10:11 2017-06-13
lrwxrwxrwx 1 root root   14 Jun 13 10:11 current -> /var/spool/bro

Изпълнете тази команда за tail logs: tail -f /var/log/bro/current/conn.logи потърсете вашия ip от браузъра.
Ако всичко е конфигурирано правилно, ще видите съобщения в журнала.

Наслади се!