Встановлення Bro IDS на Ubuntu 16.04

Вступ

Bro — це потужна платформа для аналізу мережі з відкритим кодом. Основна увага Bro приділяється моніторингу безпеки мережі. Bro також надає платформу для загального аналізу трафіку, а також допомоги з усунення несправностей і вимірювання продуктивності. Він пропонує великі файли журналів, які містять велику кількість даних у добре структурованих файлах журналів, придатних для постобробки за допомогою зовнішніх програм. Ці журнали включають:

• Усі HTTP-сеанси із запитаними URL-адресами, заголовками ключів, типами MIME та відповідями сервера.
• Запити DNS з відповідями.
• Ключовий вміст сеансів SMTP.
• SSL сертифікати.

Bro також пропонує ряд завдань аналізу та виявлення, таких як:

• Вилучення файлів із HTTP-сесій.
• Виявлення атак грубої сили SSH.
• Виявлення шкідливих програм шляхом взаємодії із зовнішніми реєстрами.
• Повідомлення про вразливі версії програмного забезпечення, поміченого в мережі.
• Виявлення атак із застосуванням SQL.

Bro може бути встановлений як окрема система або як частина кластера Bro, який об'єднує набір систем для спільного аналізу трафіку мережі. У цьому підручнику ми будемо встановлювати Bro з джерела в автономному режимі.

Передумови

• Примірник Ubuntu 16.04 з принаймні 1 ГБ пам’яті.
• Користувач sudo без права root.

Крок 1: Оновіть систему

Перш ніж розпочати нашу установку, ми рекомендуємо оновити вашу систему.

sudo apt-get update
sudo apt-get upgrade

Крок 2: Установіть залежності

Далі нам потрібно буде встановити всі необхідні пакунки на ваш сервер.

sudo apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev sendmail sendmail-bin

Крок 3: Установіть Bro

Далі ми встановимо Bro 2.5.2 з вихідного коду. Відвідайте сторінку завантаження Bro, щоб переконатися, що ви використовуєте останню збірку.

sudo mkdir -p /nsm/bro
cd ~
wget https://www.bro.org/downloads/bro-2.5.2.tar.gz
tar -xvzf bro-2.5.2.tar.gz
cd bro-2.5.2
./configure --prefix=/nsm/bro
make
sudo make install
export PATH=/nsm/bro/bin:$PATH

Крок 4: Налаштуйте Bro

Спочатку ми розповімо Bro, який інтерфейс ми хотіли б відстежувати. Це робиться для редагування файлу конфігурації /nsm/bro/etc/node.cfg.

sudo nano /nsm/bro/etc/node.cfg

Знайдіть рядок interface=eth0і змініть його на свій інтерфейс.

interface=ens3

Ви можете дізнатися, який інтерфейс ви використовуєте, за допомогою наведеного нижче.

ifconfig

Далі нам потрібно буде сказати Bro, куди надіслати електронну пошту журналу, додавши свою адресу електронної пошти до /nsm/bro/etc/broctl.cfg.

sudo nano /nsm/bro/etc/broctl.cfg

Знайдіть MailToрядок і додайте свою електронну адресу.

MailTo = sammy@example.com

Крок 5: Запустіть Bro

Bro починає використовувати BroControl, який нам потрібно буде встановити.

sudo /nsm/bro/bin/broctl
install
exit

Тепер ти можеш почати, брате.

sudo /nsm/bro/bin/broctl deploy

Далі ми налаштуємо Bro на запуск під час запуску, додавши його до /etc/rc.local.

sudo nano /etc /rc.local

Додайте наступний рядок, а потім закрийте та збережіть файл.

/nsm/bro/bin/broctl start

Далі ми додамо завдання cron.

crontab -e

Додайте наступне, щоб підтримувати Bro.

0-59/5 * * * * /nsm/bro/bin/broctl cron

Крок 6: Тестування Bro

Щоб перевірити Bro, ми будемо переглядати conn.logфайл у режимі реального часу за допомогою tail.

tail -f /nsm/bro/logs/current/conn.log

Ви зможете побачити вихідні дані з Bro, коли вони надруковані на вашому терміналі.