Inštalácia Bro IDS na Ubuntu 16.04

Úvod

Bro je výkonný open-source sieťový analytický rámec. Bro sa primárne zameriava na monitorovanie bezpečnosti siete. Bro tiež poskytuje platformu pre všeobecnú analýzu premávky, ako aj pomoc pri odstraňovaní problémov a merania výkonu. Ponúka rozsiahle protokolové súbory, ktoré obsahujú veľké množstvo údajov v dobre štruktúrovaných protokolových súboroch vhodných na následné spracovanie s externými aplikáciami. Tieto denníky zahŕňajú:

• Všetky relácie HTTP s požadovanými adresami URL, hlavičkami kľúčov, typmi MIME a odpoveďami servera.
• DNS požiadavky s odpoveďami.
• Kľúčový obsah relácií SMTP.
• SSL certifikáty.

Bro tiež ponúka celý rad analytických a detekčných úloh, ako napríklad:

• Extrahovanie súborov z relácií HTTP.
• Detekcia SSH útokov hrubou silou.
• Detekcia malvéru prostredníctvom prepojenia s externými registrami.
• Hlásenie zraniteľných verzií softvéru zaznamenaných v sieti.
• Zistiť útoky SQL injection.

Bro môže byť inštalovaný ako samostatný systém alebo ako súčasť Bro Cluster, ktorý spája sadu systémov na spoločnú analýzu prevádzky siete. V tomto návode nainštalujeme Bro zo zdroja v samostatnom režime.

Predpoklady

• Inštancia Ubuntu 16.04 s najmenej 1 GB pamäte.
• Používateľ sudo bez oprávnenia root.

Krok 1: Aktualizujte systém

Pred začatím našej inštalácie sa odporúča aktualizovať váš systém.

sudo apt-get update
sudo apt-get upgrade

Krok 2: Nainštalujte závislosti

Ďalej budeme musieť nainštalovať všetky požadované balíky na váš server.

sudo apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev sendmail sendmail-bin

Krok 3: Nainštalujte Bro

Ďalej nainštalujeme Bro 2.5.2 zo zdroja. Navštívte Broovu stránku na stiahnutie, aby ste sa uistili, že používate najnovšiu zostavu.

sudo mkdir -p /nsm/bro
cd ~
wget https://www.bro.org/downloads/bro-2.5.2.tar.gz
tar -xvzf bro-2.5.2.tar.gz
cd bro-2.5.2
./configure --prefix=/nsm/bro
make
sudo make install
export PATH=/nsm/bro/bin:$PATH

Krok 4: Nakonfigurujte Bro

Najprv povieme Broovi, ktoré rozhranie by sme chceli monitorovať. Toto sa vykonáva úpravou konfiguračného súboru /nsm/bro/etc/node.cfg.

sudo nano /nsm/bro/etc/node.cfg

Nájdite riadok interface=eth0a zmeňte ho na svoje rozhranie.

interface=ens3

Pomocou nasledujúceho môžete zistiť, ktoré rozhranie používate.

ifconfig

Ďalej budeme musieť povedať Broovi, kam má poslať e-mail s denníkom pridaním svojej e-mailovej adresy do /nsm/bro/etc/broctl.cfg.

sudo nano /nsm/bro/etc/broctl.cfg

Nájdite MailToriadok a pridajte svoju e-mailovú adresu.

MailTo = sammy@example.com

Krok 5: Spustite Bro

Bro začal používať BroControl, ktorý budeme musieť nainštalovať.

sudo /nsm/bro/bin/broctl
install
exit

Teraz môžeš začať, brácho.

sudo /nsm/bro/bin/broctl deploy

Ďalej nastavíme Bro tak, aby sa spúšťal pri spustení pridaním do /etc/rc.local.

sudo nano /etc /rc.local

Pridajte nasledujúci riadok, potom zatvorte a uložte súbor.

/nsm/bro/bin/broctl start

Ďalej pridáme úlohu cron.

crontab -e

Pridajte nasledovné, aby ste udržali Bro.

0-59/5 * * * * /nsm/bro/bin/broctl cron

Krok 6: Testovanie Bro

Aby sme otestovali Bro, conn.logsúbor zobrazíme v reálnom čase pomocou tail.

tail -f /nsm/bro/logs/current/conn.log

Budete môcť vidieť výstup z Bro, ako je vytlačený na vašom termináli.