Namestitev Bro IDS na Ubuntu 16.04

Uvod

Bro je zmogljiv odprtokodni okvir za analizo omrežja. Bro's primarni poudarek je na spremljanju varnosti omrežja. Bro ponuja tudi platformo za splošno analizo prometa ter pomoč pri odpravljanju težav in meritve učinkovitosti. Ponuja obsežne datoteke dnevnika, ki vključujejo širok nabor podatkov v dobro strukturiranih dnevniških datotekah, primernih za naknadno obdelavo z zunanjimi aplikacijami. Ti dnevniki vključujejo:

• Vse seje HTTP z zahtevanimi URL-ji, glavami ključev, vrstami MIME in odgovori strežnika.
• Zahteve DNS z odgovori.
• Ključna vsebina sej SMTP.
• SSL certifikati.

Bro ponuja tudi vrsto nalog analize in odkrivanja, kot so:

• Ekstrahiranje datotek iz sej HTTP.
• Odkrivanje napadov s surovo silo SSH.
• Odkrivanje zlonamerne programske opreme s povezovanjem z zunanjimi registri.
• Poročanje o ranljivih različicah programske opreme, vidnih v omrežju.
• Zaznajte napade z injekcijo SQL.

Bro se lahko namesti kot samostojen sistem ali kot del skupine Bro Cluster, ki povezuje niz sistemov za skupno analizo prometa omrežja. V tej vadnici bomo Bro namestili iz vira v samostojnem načinu.

Predpogoji

• Primerek Ubuntu 16.04 z vsaj 1 GB pomnilnika.
• Nekorenski uporabnik sudo.

1. korak: Posodobite sistem

Preden začnemo z namestitvijo, priporočamo, da posodobite svoj sistem.

sudo apt-get update
sudo apt-get upgrade

2. korak: Namestite odvisnosti

Nato bomo morali na vaš strežnik namestiti vse zahtevane pakete.

sudo apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev sendmail sendmail-bin

3. korak: Namestite Bro

Nato bomo namestili Bro 2.5.2 iz vira. Obiščite Bro'sovo stran za prenos in se prepričajte, da uporabljate najnovejšo različico.

sudo mkdir -p /nsm/bro
cd ~
wget https://www.bro.org/downloads/bro-2.5.2.tar.gz
tar -xvzf bro-2.5.2.tar.gz
cd bro-2.5.2
./configure --prefix=/nsm/bro
make
sudo make install
export PATH=/nsm/bro/bin:$PATH

4. korak: Konfigurirajte Bro

Najprej bomo povedali Bro, kateri vmesnik želimo spremljati. To se naredi z urejanjem konfiguracijske datoteke /nsm/bro/etc/node.cfg.

sudo nano /nsm/bro/etc/node.cfg

Poiščite vrstico interface=eth0in jo spremenite v svoj vmesnik.

interface=ens3

Kateri vmesnik uporabljate, lahko ugotovite z naslednjim.

ifconfig

Nato bomo morali bratu povedati, kam naj pošlje e-pošto dnevnika, tako da doda svoj e-poštni naslov v /nsm/bro/etc/broctl.cfg.

sudo nano /nsm/bro/etc/broctl.cfg

Poiščite MailTovrstico in dodajte svoj e-poštni naslov.

MailTo = sammy@example.com

5. korak: Zaženite Bro

Bro je začel uporabljati BroControl, ki ga bomo morali namestiti.

sudo /nsm/bro/bin/broctl
install
exit

Zdaj lahko začneš Bro.

sudo /nsm/bro/bin/broctl deploy

Nato bomo nastavili Bro za zagon ob zagonu, tako da ga dodamo v /etc/rc.local.

sudo nano /etc /rc.local

Dodajte naslednjo vrstico, nato zaprite in shranite datoteko.

/nsm/bro/bin/broctl start

Nato bomo dodali cron opravilo.

crontab -e

Dodajte naslednje, da ohranite Bro.

0-59/5 * * * * /nsm/bro/bin/broctl cron

6. korak: Testiranje Bro

Za testiranje Bro si bomo conn.logdatoteko ogledali v realnem času z uporabo tail.

tail -f /nsm/bro/logs/current/conn.log

Izhod iz Bro boste lahko videli, ko bo natisnjen na vaš terminal.