Instalace Bro IDS na Ubuntu 16.04

Úvod

Bro je výkonný open-source síťový analytický rámec. Bro se primárně zaměřuje na monitorování bezpečnosti sítě. Bro také poskytuje platformu pro obecnou analýzu provozu, stejně jako pomoc při odstraňování problémů a měření výkonu. Nabízí rozsáhlé soubory protokolů, které obsahují velké množství dat v dobře strukturovaných souborech protokolu vhodných pro následné zpracování s externími aplikacemi. Tyto protokoly zahrnují:

• Všechny relace HTTP s požadovanými adresami URL, hlavičkami klíčů, typy MIME a odpověďmi serveru.
• Požadavky DNS s odpověďmi.
• Klíčový obsah relací SMTP.
• SSL certifikáty.

Bro také nabízí řadu analytických a detekčních úloh, jako jsou:

• Extrahování souborů z HTTP relací.
• Detekce útoků hrubou silou SSH.
• Detekce malwaru pomocí propojení s externími registry.
• Hlášení zranitelných verzí softwaru zaznamenaných v síti.
• Detekce útoků SQL injection.

Bro může být instalován jako samostatný systém nebo jako součást Bro Clusteru, který spojuje sadu systémů za účelem společné analýzy provozu sítě. V tomto tutoriálu budeme instalovat Bro ze zdroje v samostatném režimu.

Předpoklady

• Instance Ubuntu 16.04 s alespoň 1 GB paměti.
• Uživatel sudo bez oprávnění root.

Krok 1: Aktualizujte systém

Před zahájením naší instalace se doporučuje aktualizovat váš systém.

sudo apt-get update
sudo apt-get upgrade

Krok 2: Nainstalujte závislosti

Dále budeme muset nainstalovat všechny požadované balíčky na váš server.

sudo apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev sendmail sendmail-bin

Krok 3: Nainstalujte Bro

Dále nainstalujeme Bro 2.5.2 ze zdroje. Navštivte stránku Bro's download a ujistěte se, že používáte nejnovější sestavení.

sudo mkdir -p /nsm/bro
cd ~
wget https://www.bro.org/downloads/bro-2.5.2.tar.gz
tar -xvzf bro-2.5.2.tar.gz
cd bro-2.5.2
./configure --prefix=/nsm/bro
make
sudo make install
export PATH=/nsm/bro/bin:$PATH

Krok 4: Nakonfigurujte Bro

Nejprve řekneme Broovi, které rozhraní bychom chtěli sledovat. To se provádí úpravou konfiguračního souboru /nsm/bro/etc/node.cfg.

sudo nano /nsm/bro/etc/node.cfg

Najděte řádek interface=eth0a změňte jej na své rozhraní.

interface=ens3

Pomocí následujícího zjistíte, které rozhraní používáte.

ifconfig

Dále budeme muset říct Bráchovi, kam má poslat e-mail s protokolem přidáním vaší e-mailové adresy do /nsm/bro/etc/broctl.cfg.

sudo nano /nsm/bro/etc/broctl.cfg

Najděte MailTořádek a přidejte svou e-mailovou adresu.

MailTo = sammy@example.com

Krok 5: Spusťte Bro

Bro začíná používat BroControl, který budeme muset nainstalovat.

sudo /nsm/bro/bin/broctl
install
exit

Nyní můžeš začít, brácho.

sudo /nsm/bro/bin/broctl deploy

Dále nastavíme Bro, aby se spouštěl při spuštění přidáním do /etc/rc.local.

sudo nano /etc /rc.local

Přidejte následující řádek, zavřete a uložte soubor.

/nsm/bro/bin/broctl start

Dále přidáme úlohu cron.

crontab -e

Přidejte následující, abyste zachovali Bro.

0-59/5 * * * * /nsm/bro/bin/broctl cron

Krok 6: Testování Bro

Abychom Brou otestovali, zobrazíme conn.logsoubor v reálném čase pomocí tail.

tail -f /nsm/bro/logs/current/conn.log

Budete moci vidět výstup z Bro, jak je vytištěn na vašem terminálu.