Встановлення Bro IDS на Fedora 25

Вступ

Bro — це аналізатор мережевого трафіку з відкритим кодом. Насамперед це монітор безпеки, який детально перевіряє весь трафік на посиланні на наявність ознак підозрілої активності. Однак у більш загальному плані Bro підтримує широкий спектр завдань аналізу трафіку навіть за межами домену безпеки, включаючи вимірювання продуктивності та допомогу з усуненням несправностей.

Передумови

Перш ніж інсталювати Bro, вам потрібно переконатися, що існують певні залежності:

Необхідні залежності

• Libpcap
• Бібліотеки OpenSSL
• Бібліотека BIND8
• Libz
• Bash (для BroControl)
• Python 2.6+ або вище (для BroControl)

Це Sendmailне є обов’язковим, але настійно рекомендується.

Крок 1: Оновіть систему

Перед встановленням будь-яких пакетів рекомендується оновити системні пакети. Виконайте команду dnf --assumeyes update. Це завантажить та встановить останні версії системних пакетів. Менеджер пакетів автоматично відповість «Так» на запропоновані підказки. Це може зайняти деякий час.

Крок 2: Встановіть залежності

Вам потрібно буде встановити необхідні пакети у вашій системі. Виконайте таку команду: dnf --assumeyes install libpcap openssl python zlib sendmail

Крок 3: Встановіть Bro IDS

Команда запуску dnf install --assumeyes bro Ця команда буде встановлена broв /binкаталозі. А тепер давайте налаштуємо його.

Крок 4: Налаштуйте Bro IDS

Створення папок: mkdir -p /var/log/broіmkdir -p /var/spool

Налаштування файлу node.cfg

Оскільки ім’я інтерфейсу Fedora 2x було змінено, давайте з’ясуємо поточну назву iface:
ls /sys/class/net. Виведення має бути подібним до цього: ens3 lo, або цього: eth0 lo. У першому випадку нас цікавить ens3назва інтерфейсу, у другому -- eth0. Припустимо, що ми маємо ens3.

Тепер перегляньте файл /etc/bro/node.cfg. Виконати команду less /etc/bro/node.cfg. У рядку 11 є специфікація мережевого інтерфейсу:
interface=eth0. Якщо ваше ім’я iface eth0– дозвольте файлу без змін і перейдіть до наступного кроку. В іншому випадку - змініть його на ens3. Для цього запустіть цю команду: sed -i 's/eth0/ens3'. Опція -iозначає зміну файлу на місці. sзамінить значення, укладене між першою та другою косою рискою, на значення між другим і третім.

Налаштування файлу broctl.cfg

Додайте змінні до конфігураційного файлу:
echo "LibDirInternal = /usr/lib/python2.7/site-packages/BroControl/" >> /etc/bro/broctl.cfg
echo "SpoolDir = /var/spool" >> /etc/bro/broctl.cfg
echo "LogDir = /var/log/bro" >> /etc/bro/broctl.cfg
echo "CfgDir = /etc/bro" >> /etc/bro/broctl.cfg

Крок 5: Запустіть BroCtl

Тепер ми можемо розгорнути наш налаштований вузол і почати ведення журналу:

Виконати команду broctl deploy. Ви побачите такий результат:

cannot get list of local IP addresses
checking configurations ...
installing ...
removing old policies in /var/spool/installed-scripts-do-not-touch/site ...
removing old policies in /var/spool/installed-scripts-do-not-touch/auto ...
creating policy directories ...
installing site policies ...
generating standalone-layout.bro ...
generating local-networks.bro ...
generating broctl-config.bro ...
generating broctl-config.sh ...
updating nodes ...
stopping ...
stopping bro ...
starting ...
starting bro ...

Якщо ви не отримали жодних помилок - bro розгорнуто.

Крок 5: Перевірте свою інсталяцію

Тепер поглянемо на журнали: ls -la /var/log/bro. Вихід має бути подібним до цього:

total 12
drwxr-xr-x 3 root root 4096 Jun 13 10:11 .
drwxr-xr-x 1 root root 4096 Jun 13 10:04 ..
drwxr-xr-x 2 root root 4096 Jun 13 10:11 2017-06-13
lrwxrwxrwx 1 root root   14 Jun 13 10:11 current -> /var/spool/bro

Виконайте цю команду для хвостових журналів: tail -f /var/log/bro/current/conn.logі запитайте свій ip із браузера.
Якщо все було налаштовано правильно, ви побачите повідомлення журналу.

Насолоджуйтесь!