„Bro IDS“ diegimas „Ubuntu 16.04“.

Įvadas

Bro yra galinga atvirojo kodo tinklo analizės sistema. Brolis daugiausia dėmesio skiria tinklo saugumo stebėjimui. „Bro“ taip pat teikia platformą bendrai eismo analizei, trikčių šalinimo pagalbai ir našumo matavimams. Jame siūlomi dideli žurnalo failai, kuriuose yra daug duomenų, gerai struktūrizuotų žurnalo failų, tinkamų tolesniam apdorojimui naudojant išorines programas. Šiuose žurnaluose yra:

• Visos HTTP sesijos su prašomais URL, raktų antraštėmis, MIME tipais ir serverio atsakymais.
• DNS užklausos su atsakymais.
• Pagrindinis SMTP seansų turinys.
• SSL sertifikatai.

Bro taip pat siūlo daugybę analizės ir aptikimo užduočių, tokių kaip:

• Failų ištraukimas iš HTTP seansų.
• SSH brutaliosios jėgos atakų aptikimas.
• Kenkėjiškos programos aptikimas naudojant sąsają su išoriniais registrais.
• Pranešti apie tinkle matomas pažeidžiamas programinės įrangos versijas.
• Aptikti SQL injekcijos atakas.

„Bro“ gali būti įdiegta kaip atskira sistema arba kaip „ Bro Cluster“ dalis, kuri susieja sistemų rinkinį, kad bendrai analizuotų tinklo srautą. Šioje pamokoje mes įdiegsime Bro iš šaltinio atskiru režimu.

Būtinos sąlygos

• Ubuntu 16.04 egzempliorius su mažiausiai 1 GB atminties.
• Ne root sudo vartotojas.

1 veiksmas: atnaujinkite sistemą

Prieš pradedant diegti, rekomenduojama atnaujinti sistemą.

sudo apt-get update
sudo apt-get upgrade

2 veiksmas: įdiekite priklausomybes

Tada turėsime įdiegti visus reikiamus paketus jūsų serveryje.

sudo apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev sendmail sendmail-bin

3 veiksmas: įdiekite Bro

Tada mes įdiegsime Bro 2.5.2 iš šaltinio. Apsilankykite Bro atsisiuntimo puslapyje ir įsitikinkite, kad naudojate naujausią versiją.

sudo mkdir -p /nsm/bro
cd ~
wget https://www.bro.org/downloads/bro-2.5.2.tar.gz
tar -xvzf bro-2.5.2.tar.gz
cd bro-2.5.2
./configure --prefix=/nsm/bro
make
sudo make install
export PATH=/nsm/bro/bin:$PATH

4 veiksmas: sukonfigūruokite Bro

Pirmiausia pasakysime Bro, kurią sąsają norėtume stebėti. Tai daroma redaguojant konfigūracijos failą /nsm/bro/etc/node.cfg.

sudo nano /nsm/bro/etc/node.cfg

Raskite eilutę interface=eth0ir pakeiskite ją į savo sąsają.

interface=ens3

Kurią sąsają naudojate, galite sužinoti naudodami toliau pateiktą informaciją.

ifconfig

Tada turėsime pasakyti Bro, kur siųsti žurnalo el. laišką, pridėdami savo el. pašto adresą į /nsm/bro/etc/broctl.cfg.

sudo nano /nsm/bro/etc/broctl.cfg

Raskite MailToeilutę ir pridėkite savo el. pašto adresą.

MailTo = sammy@example.com

5 veiksmas: paleiskite Bro

Bro pradeda naudoti BroControl, kurią turėsime įdiegti.

sudo /nsm/bro/bin/broctl
install
exit

Dabar galite pradėti Bro.

sudo /nsm/bro/bin/broctl deploy

Tada nustatysime, kad Bro veiktų paleidžiant, pridėdami jį prie /etc/rc.local.

sudo nano /etc /rc.local

Pridėkite šią eilutę, tada uždarykite ir išsaugokite failą.

/nsm/bro/bin/broctl start

Toliau pridėsime cron darbą.

crontab -e

Pridėkite šiuos dalykus, kad išlaikytumėte Bro.

0-59/5 * * * * /nsm/bro/bin/broctl cron

6 veiksmas: išbandykite Bro

Norėdami išbandyti Bro, peržiūrėsime conn.logfailą realiuoju laiku naudodami tail.

tail -f /nsm/bro/logs/current/conn.log

Galėsite matyti Bro išvestį, kai ji bus atspausdinta jūsų terminale.