Instal·lació de Bro IDS a Ubuntu 16.04

Introducció

Bro és un potent marc d'anàlisi de xarxa de codi obert. L'objectiu principal de Bro és la supervisió de la seguretat de la xarxa. Bro també ofereix una plataforma per a l'anàlisi general del trànsit, així com assistència per a la resolució de problemes i mesures de rendiment. Ofereix fitxers de registre extensos que inclouen una gran varietat de dades en fitxers de registre ben estructurats adequats per al processament posterior amb aplicacions externes. Aquests registres inclouen:

• Totes les sessions HTTP amb els URL sol·licitats, les capçaleres de claus, els tipus MIME i les respostes del servidor.
• Sol·licituds de DNS amb respostes.
• Contingut clau de les sessions SMTP.
• Certificats SSL.

Bro també ofereix una sèrie de tasques d'anàlisi i detecció com ara:

• Extracció de fitxers de sessions HTTP.
• Detecció d'atacs de força bruta SSH.
• Detecció de programari maliciós mitjançant la interfície amb registres externs.
• Informar de versions vulnerables de programari vistes a la xarxa.
• Detectar atacs d'injecció SQL.

Bro es pot instal·lar com a sistema autònom o com a part d'un clúster Bro que enllaça un conjunt de sistemes per analitzar conjuntament el trànsit d'una xarxa. En aquest tutorial, instal·larem Bro des de la font en mode autònom.

Requisits previs

• Una instància d'Ubuntu 16.04 amb almenys 1 GB de memòria.
• Un usuari sudo no root.

Pas 1: actualitzar el sistema

Abans de començar la nostra instal·lació, us recomanem que actualitzeu el vostre sistema.

sudo apt-get update
sudo apt-get upgrade

Pas 2: instal·leu les dependències

A continuació, haurem d'instal·lar tots els paquets necessaris al vostre servidor.

sudo apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev sendmail sendmail-bin

Pas 3: instal·leu Bro

A continuació, instal·larem Bro 2.5.2 des de la font. Visiteu la pàgina de descàrrega de Bro per assegurar-vos que utilitzeu l'última versió.

sudo mkdir -p /nsm/bro
cd ~
wget https://www.bro.org/downloads/bro-2.5.2.tar.gz
tar -xvzf bro-2.5.2.tar.gz
cd bro-2.5.2
./configure --prefix=/nsm/bro
make
sudo make install
export PATH=/nsm/bro/bin:$PATH

Pas 4: Configura Bro

Primer li direm a Bro quina interfície ens agradaria supervisar. Això es fa amb l'edició del fitxer de configuració /nsm/bro/etc/node.cfg.

sudo nano /nsm/bro/etc/node.cfg

Trobeu la línia interface=eth0i canvieu-la a la vostra interfície.

interface=ens3

Podeu trobar la interfície que feu servir amb el següent.

ifconfig

A continuació, haurem de dir al Bro on enviar el correu electrònic de registre afegint la vostra adreça de correu electrònic a /nsm/bro/etc/broctl.cfg.

sudo nano /nsm/bro/etc/broctl.cfg

Cerqueu la MailTolínia i afegiu la vostra adreça de correu electrònic.

MailTo = sammy@example.com

Pas 5: inicieu Bro

Bro comença a utilitzar BroControl, que haurem d'instal·lar.

sudo /nsm/bro/bin/broctl
install
exit

Ara pots començar germà.

sudo /nsm/bro/bin/broctl deploy

A continuació, configurarem Bro perquè s'executi a l'inici afegint-lo a /etc/rc.local.

sudo nano /etc /rc.local

Afegiu la línia següent, tanqueu i deseu el fitxer.

/nsm/bro/bin/broctl start

A continuació, afegirem un treball cron.

crontab -e

Afegiu el següent per mantenir Bro.

0-59/5 * * * * /nsm/bro/bin/broctl cron

Pas 6: prova Bro

Per provar Bro, veurem el conn.logfitxer en temps real amb tail.

tail -f /nsm/bro/logs/current/conn.log

Podreu veure la sortida de Bro tal com s'imprimeix al vostre terminal.