Installera Bro IDS på Ubuntu 16.04

Introduktion

Bro är ett kraftfullt ramverk för nätverksanalys med öppen källkod. Bros primära fokus ligger på nätverkssäkerhetsövervakning. Bro tillhandahåller också en plattform för allmän trafikanalys samt felsökningshjälp och prestationsmätningar. Den erbjuder omfattande loggfiler som inkluderar ett stort utbud av data i välstrukturerade loggfiler som är lämpliga för efterbearbetning med externa applikationer. Dessa loggar inkluderar:

• Alla HTTP-sessioner med begärda webbadresser, nyckelrubriker, MIME-typer och serversvar.
• DNS-förfrågningar med svar.
• Viktigt innehåll i SMTP-sessioner.
• SSL-certifikat.

Bro erbjuder också en rad analys- och detektionsuppgifter som:

• Extrahera filer från HTTP-sessioner.
• Upptäcker SSH brute-force-attacker.
• Upptäcka skadlig programvara genom gränssnitt med externa register.
• Rapportera sårbara versioner av programvara som har setts i nätverket.
• Upptäck SQL-injektionsattacker.

Bro kan installeras som ett fristående system eller som en del av ett Bro Cluster som länkar en uppsättning system för att gemensamt analysera trafiken i ett nätverk. I den här handledningen kommer vi att installera Bro från källan i fristående läge.

Förutsättningar

• En Ubuntu 16.04-instans med minst 1 GB minne.
• En icke-root sudo-användare.

Steg 1: Uppdatera systemet

Innan du påbörjar vår installation rekommenderar vi att du uppdaterar ditt system.

sudo apt-get update
sudo apt-get upgrade

Steg 2: Installera beroenden

Därefter måste vi installera alla nödvändiga paket på din server.

sudo apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev sendmail sendmail-bin

Steg 3: Installera Bro

Därefter kommer vi att installera Bro 2.5.2 från källan. Besök Bros nedladdningssida för att säkerställa att du använder den senaste versionen.

sudo mkdir -p /nsm/bro
cd ~
wget https://www.bro.org/downloads/bro-2.5.2.tar.gz
tar -xvzf bro-2.5.2.tar.gz
cd bro-2.5.2
./configure --prefix=/nsm/bro
make
sudo make install
export PATH=/nsm/bro/bin:$PATH

Steg 4: Konfigurera Bro

Först kommer vi att berätta för Bro vilket gränssnitt vi vill övervaka. Detta görs genom att redigera konfigurationsfilen /nsm/bro/etc/node.cfg.

sudo nano /nsm/bro/etc/node.cfg

Hitta raden interface=eth0och ändra den till ditt gränssnitt.

interface=ens3

Du kan hitta vilket gränssnitt du använder med följande.

ifconfig

Därefter kommer vi att behöva berätta för Bro vart loggmeddelandet ska skickas genom att lägga till din e-postadress till /nsm/bro/etc/broctl.cfg.

sudo nano /nsm/bro/etc/broctl.cfg

Hitta MailToraden och lägg till din e-postadress.

MailTo = sammy@example.com

Steg 5: Starta Bro

Bro börjar använda BroControl, som vi måste installera.

sudo /nsm/bro/bin/broctl
install
exit

Nu kan du starta Bro.

sudo /nsm/bro/bin/broctl deploy

Därefter kommer vi att ställa in Bro så att den körs vid start genom att lägga till den i /etc/rc.local.

sudo nano /etc /rc.local

Lägg till följande rad, stäng sedan och spara filen.

/nsm/bro/bin/broctl start

Nästa kommer vi att lägga till ett cron-jobb.

crontab -e

Lägg till följande för att underhålla Bro.

0-59/5 * * * * /nsm/bro/bin/broctl cron

Steg 6: Testa Bro

För att testa Bro kommer vi att se conn.logfilen i realtid med tail.

tail -f /nsm/bro/logs/current/conn.log

Du kommer att kunna se utdata från Bro när den skrivs ut till din terminal.