在Fedora 25上安装Bro IDS

注:本教程在Vultr VPS上测试通过,如需部署请前往Vultr.com

介绍

Bro是一个开源网络流量分析器。它主要是一种安全监视器,可对链接上的所有流量进行深入检查,以查找可疑活动的迹象。但是,更一般而言,Bro即使在安全域之外也支持各种流量分析任务,包括性能测量和故障排除帮助。

先决条件

在安装Bro之前,您需要确保已安装一些依赖项:

必需的依赖关系

脂帽
OpenSSL库
BIND8库
利布兹
重击(对于BroControl)
Python 2.6或更高版本(用于BroControl)

Sendmail 不是必需的,但强烈建议。

步骤1:更新系统

在安装任何软件包之前,建议先更新系统软件包。运行命令 dnf --assumeyes update。这将下载并安装最新版本的系统软件包。包管理器将自动对提供的提示回答“是”。可能需要一些时间。

步骤2:安装依赖项

您需要在系统上安装必需的软件包。运行以下命令:
dnf --assumeyes install libpcap openssl python zlib sendmail

步骤3:安装Bro IDS

运行命令 dnf install --assumeyes bro
该命令将安装 bro 进入 /bin 目录。现在让我们对其进行配置。

步骤4:配置Bro IDS

创建文件夹: mkdir -p /var/log/bromkdir -p /var/spool

配置node.cfg文件

由于Fedora 2x接口命名已更改,因此让我们找出当前的iface名称:ls /sys/class/net。输出应与此类似: ens3 lo,或这个: eth0 lo。在第一种情况下,我们感兴趣 ens3 接口名称,在第二个名称中- eth0。假设我们有 ens3

现在,检查文件 /etc/bro/node.cfg。运行命令 less /etc/bro/node.cfg。在第11行,有网络接口规范:interface=eth0。如果您的iface名称是 eth0 -让文件保持不变,然后继续下一步。否则-用 ens3。为此,请运行以下命令: sed -i 's/eth0/ens3'。选项 -i 代表就地更改文件。 s 将第一个和第二个斜杠之间包含的值替换为第二个和第三个斜杠之间的值。

配置broctl.cfg文件

将变量添加到配置文件:echo "LibDirInternal = /usr/lib/python2.7/site-packages/BroControl/" >> /etc/bro/broctl.cfgecho "SpoolDir = /var/spool" >> /etc/bro/broctl.cfgecho "LogDir = /var/log/bro" >> /etc/bro/broctl.cfgecho "CfgDir = /etc/bro" >> /etc/bro/broctl.cfg

步骤5:启动BroCtl

现在,我们可以部署配置的节点并开始记录:

运行命令 broctl deploy。您将看到如下输出:

cannot get list of local IP addresses
checking configurations ...
installing ...
removing old policies in /var/spool/installed-scripts-do-not-touch/site ...
removing old policies in /var/spool/installed-scripts-do-not-touch/auto ...
creating policy directories ...
installing site policies ...
generating standalone-layout.bro ...
generating local-networks.bro ...
generating broctl-config.bro ...
generating broctl-config.sh ...
updating nodes ...
stopping ...
stopping bro ...
starting ...
starting bro ...

如果您没有遇到任何错误-将会部署bro。

步骤5:测试安装

现在让我们看一下日志: ls -la /var/log/bro
输出应与此类似:

total 12
drwxr-xr-x 3 root root 4096 Jun 13 10:11 .
drwxr-xr-x 1 root root 4096 Jun 13 10:04 ..
drwxr-xr-x 2 root root 4096 Jun 13 10:11 2017-06-13
lrwxrwxrwx 1 root root   14 Jun 13 10:11 current -> /var/spool/bro

运行以下命令以尾部记录日志: tail -f /var/log/bro/current/conn.log 并从浏览器查询您的IP。
如果一切配置正确,您将看到日志消息。

请享用!

注:本教程在Vultr VPS上测试通过,如需部署请前往Vultr.com