Installerer Bro IDS på Fedora 25

Introduktion

Bro er en open source-netværkstrafikanalysator. Det er primært en sikkerhedsmonitor, der inspicerer al trafik på et link i dybden for tegn på mistænkelig aktivitet. Mere generelt understøtter Bro dog en lang række trafikanalyseopgaver selv uden for sikkerhedsdomænet, herunder præstationsmålinger og hjælp til fejlfinding.

Forudsætninger

Før du installerer Bro, skal du sikre dig, at nogle afhængigheder er på plads:

Nødvendige afhængigheder

• Libpcap
• OpenSSL biblioteker
• BIND8 bibliotek
• Libz
• Bash (til BroControl)
• Python 2.6+ eller nyere (til BroControl)

Det Sendmailer ikke påkrævet, men anbefales stærkt.

Trin 1: Opdater systemet

Før du installerer nogen pakker, anbefales det at opdatere systempakkerne. Kør kommandoen dnf --assumeyes update. Dette vil downloade og installere de seneste versioner af systempakkerne. Pakkemanager vil automatisk svare ja til tilbudte prompter. Det kan tage noget tid.

Trin 2: Installer afhængigheder

Du skal installere de nødvendige pakker på dit system. Kør følgende kommando: dnf --assumeyes install libpcap openssl python zlib sendmail

Trin 3: Installer Bro IDS

Kør kommando dnf install --assumeyes bro Denne kommando installeres broi /binmappen. Og lad os nu konfigurere det.

Trin 4: Konfigurer Bro IDS

Opret mapper: mkdir -p /var/log/broogmkdir -p /var/spool

Konfiguration af filen node.cfg

Siden Fedora 2x interface navngivning blev ændret, så lad os finde ud af det nuværende iface navn:
ls /sys/class/net. Output skal ligne denne: ens3 lo, eller denne: eth0 lo. I det første tilfælde er vi interesseret i ens3grænsefladenavn, i det andet tilfælde -- eth0. Lad os antage, at vi har ens3.

Undersøg nu filen /etc/bro/node.cfg. Kør kommando less /etc/bro/node.cfg. På linje 11 er der netværksgrænsefladespecifikation:
interface=eth0. Hvis dit iface-navn er eth0-- lad filen uden ændringer og fortsæt til næste trin. Ellers – skift det med ens3. Kør denne kommando til det: sed -i 's/eth0/ens3'. Option -istår for at ændre filen på plads. serstatter værdien mellem første og anden skråstreg med værdien mellem anden og tredje.

Konfiguration af broctl.cfg-filen

Tilføj variabler til konfigurationsfilen:
echo "LibDirInternal = /usr/lib/python2.7/site-packages/BroControl/" >> /etc/bro/broctl.cfg
echo "SpoolDir = /var/spool" >> /etc/bro/broctl.cfg
echo "LogDir = /var/log/bro" >> /etc/bro/broctl.cfg
echo "CfgDir = /etc/bro" >> /etc/bro/broctl.cfg

Trin 5: Start BroCtl

Nu kan vi implementere vores konfigurerede node og begynde at logge:

Kør kommando broctl deploy. Du vil se output som dette:

cannot get list of local IP addresses
checking configurations ...
installing ...
removing old policies in /var/spool/installed-scripts-do-not-touch/site ...
removing old policies in /var/spool/installed-scripts-do-not-touch/auto ...
creating policy directories ...
installing site policies ...
generating standalone-layout.bro ...
generating local-networks.bro ...
generating broctl-config.bro ...
generating broctl-config.sh ...
updating nodes ...
stopping ...
stopping bro ...
starting ...
starting bro ...

Hvis du ikke fik nogen fejl - bro er implementeret.

Trin 5: Test din installation

Lad os nu se på loggene: ls -la /var/log/bro. Output skal ligne denne:

total 12
drwxr-xr-x 3 root root 4096 Jun 13 10:11 .
drwxr-xr-x 1 root root 4096 Jun 13 10:04 ..
drwxr-xr-x 2 root root 4096 Jun 13 10:11 2017-06-13
lrwxrwxrwx 1 root root   14 Jun 13 10:11 current -> /var/spool/bro

Kør denne kommando for at afslutte logfiler: tail -f /var/log/bro/current/conn.logog forespørg din ip fra browseren.
Hvis alt var konfigureret korrekt, vil du se logmeddelelser.

God fornøjelse!