Namestitev Bro IDS na Fedora 25

Uvod

Bro je odprtokodni analizator omrežnega prometa. Gre predvsem za varnostni nadzornik, ki poglobljeno pregleda ves promet na povezavi glede znakov sumljive dejavnosti. Na splošno pa Bro podpira širok nabor nalog analize prometa tudi zunaj varnostne domene, vključno z meritvami učinkovitosti in pomočjo pri odpravljanju težav.

Predpogoji

Preden namestite Bro, se morate prepričati, da obstajajo nekatere odvisnosti:

Zahtevane odvisnosti

• Libpcap
• Knjižnice OpenSSL
• Knjižnica BIND8
• Libz
• Bash (za BroControl)
• Python 2.6+ ali novejši (za BroControl)

SendmailNi potrebno, je pa zelo priporočljivo.

1. korak: Posodobite sistem

Pred namestitvijo katerega koli paketa je priporočljivo posodobiti sistemske pakete. Zaženite ukaz dnf --assumeyes update. To bo preneslo in namestilo najnovejše različice sistemskih paketov. Upravitelj paketov bo samodejno odgovoril pritrdilno na ponujene pozive. Lahko traja nekaj časa.

2. korak: Namestite odvisnosti

Na svoj sistem boste morali namestiti zahtevane pakete. Zaženite naslednji ukaz: dnf --assumeyes install libpcap openssl python zlib sendmail

3. korak: Namestite Bro IDS

Ukaz Zaženi dnf install --assumeyes bro Ta ukaz se bo namestil brov /binimenik. In zdaj ga konfigurirajmo.

4. korak: Konfigurirajte Bro IDS

Ustvarite mape: mkdir -p /var/log/broinmkdir -p /var/spool

Konfiguriranje datoteke node.cfg

Ker je bilo poimenovanje vmesnika Fedora 2x spremenjeno, poglejmo trenutno ime iface:
ls /sys/class/net. Izhod mora biti podoben temu: ens3 lo, ali temu: eth0 lo. V prvem primeru nas zanima ens3ime vmesnika, v drugem pa -- eth0. Predpostavimo, da imamo ens3.

Zdaj pa preglejte datoteko /etc/bro/node.cfg. Zaženi ukaz less /etc/bro/node.cfg. V vrstici 11 je specifikacija omrežnega vmesnika:
interface=eth0. Če je vaše ime iface eth0-- pustite datoteko brez sprememb in nadaljujte na naslednji korak. V nasprotnem primeru - spremenite z ens3. Za to zaženite ta ukaz: sed -i 's/eth0/ens3'. Možnost -ipomeni spreminjanje datoteke na mestu. sbo nadomestilo vrednost med prvo in drugo poševnico z vrednostjo med drugo in tretjo.

Konfiguriranje datoteke broctl.cfg

V konfiguracijsko datoteko dodajte spremenljivke:
echo "LibDirInternal = /usr/lib/python2.7/site-packages/BroControl/" >> /etc/bro/broctl.cfg
echo "SpoolDir = /var/spool" >> /etc/bro/broctl.cfg
echo "LogDir = /var/log/bro" >> /etc/bro/broctl.cfg
echo "CfgDir = /etc/bro" >> /etc/bro/broctl.cfg

5. korak: Zaženite BroCtl

Zdaj lahko namestimo naše konfigurirano vozlišče in začnemo beležiti:

Zaženi ukaz broctl deploy. Videli boste takšen izhod:

cannot get list of local IP addresses
checking configurations ...
installing ...
removing old policies in /var/spool/installed-scripts-do-not-touch/site ...
removing old policies in /var/spool/installed-scripts-do-not-touch/auto ...
creating policy directories ...
installing site policies ...
generating standalone-layout.bro ...
generating local-networks.bro ...
generating broctl-config.bro ...
generating broctl-config.sh ...
updating nodes ...
stopping ...
stopping bro ...
starting ...
starting bro ...

Če niste dobili nobene napake - brat je nameščen.

5. korak: Preizkusite namestitev

Zdaj pa poglejmo dnevnike: ls -la /var/log/bro. Izhod bi moral biti podoben temu:

total 12
drwxr-xr-x 3 root root 4096 Jun 13 10:11 .
drwxr-xr-x 1 root root 4096 Jun 13 10:04 ..
drwxr-xr-x 2 root root 4096 Jun 13 10:11 2017-06-13
lrwxrwxrwx 1 root root   14 Jun 13 10:11 current -> /var/spool/bro

Zaženite ta ukaz za dnevnike repa: tail -f /var/log/bro/current/conn.login poiščite svoj ip iz brskalnika.
Če je bilo vse pravilno konfigurirano, boste videli sporočila dnevnika.

Uživajte!