Installieren von Bro IDS unter Fedora 25

• Einführung
• Voraussetzungen
• Schritt 1: Aktualisieren Sie das System
• Schritt 2: Installieren Sie Abhängigkeiten
• Schritt 3: Installieren Sie Bro IDS
• Schritt 4: Konfigurieren Sie Bro IDS
• Schritt 5: Starten Sie BroCtl
• Schritt 5: Testen Sie Ihre Installation

Einführung

Bro ist ein Open-Source-Netzwerkverkehrsanalysator. Es handelt sich in erster Linie um einen Sicherheitsmonitor, der den gesamten Datenverkehr auf einer Verbindung eingehend auf Anzeichen verdächtiger Aktivitäten überprüft. Im Allgemeinen unterstützt Bro jedoch eine Vielzahl von Verkehrsanalyseaufgaben auch außerhalb des Sicherheitsbereichs, einschließlich Leistungsmessungen und Hilfe bei der Fehlerbehebung.

Voraussetzungen

Vor der Installation von Bro müssen Sie sicherstellen, dass einige Abhängigkeiten vorhanden sind:

Erforderliche Abhängigkeiten

• Libpcap
• OpenSSL-Bibliotheken
• BIND8-Bibliothek
• Libz
• Bash (für BroControl)
• Python 2.6+ oder höher (für BroControl)

Das Sendmailist nicht erforderlich, wird aber dringend empfohlen.

Schritt 1: Aktualisieren Sie das System

Vor der Installation von Paketen wird empfohlen, die Systempakete zu aktualisieren. Führen Sie den Befehl aus dnf --assumeyes update. Dadurch werden die neuesten Versionen der Systempakete heruntergeladen und installiert. Der Paketmanager antwortet automatisch mit Ja auf die angebotenen Eingabeaufforderungen. Es kann einige Zeit dauern.

Schritt 2: Installieren Sie Abhängigkeiten

Sie müssen die erforderlichen Pakete auf Ihrem System installieren. Führen Sie den folgenden Befehl aus: dnf --assumeyes install libpcap openssl python zlib sendmail

Schritt 3: Installieren Sie Bro IDS

Befehl ausführen dnf install --assumeyes bro Dieser Befehl wird broim /binVerzeichnis installiert . Und jetzt konfigurieren wir es.

Schritt 4: Konfigurieren Sie Bro IDS

Ordner erstellen: mkdir -p /var/log/broundmkdir -p /var/spool

Konfigurieren der Datei node.cfg

Da die Benennung der Fedora 2x-Schnittstelle geändert wurde, ermitteln wir den aktuellen iface-Namen :
ls /sys/class/net. Die Ausgabe sollte ähnlich sein wie diese: ens3 looder diese : eth0 lo. Im ersten Fall interessieren wir uns für den ens3Namen der Schnittstelle, im zweiten - eth0. Nehmen wir an, wir haben ens3.

Untersuchen Sie nun die Datei /etc/bro/node.cfg. Befehl ausführen less /etc/bro/node.cfg. In Zeile 11 befindet sich die Netzwerkschnittstellenspezifikation :
interface=eth0. Wenn Ihr iface-Name lautet eth0- lassen Sie die Datei unverändert und fahren Sie mit dem nächsten Schritt fort. Ansonsten - ändern Sie es mit ens3. Führen Sie dazu diesen Befehl aus : sed -i 's/eth0/ens3'. Option -isteht für das Ändern der Datei an Ort und Stelle. sersetzt den Wert zwischen dem ersten und zweiten Schrägstrich durch den Wert zwischen dem zweiten und dritten Schrägstrich.

Konfigurieren der Datei broctl.cfg

Fügen Sie der Konfigurationsdatei Variablen hinzu:
echo "LibDirInternal = /usr/lib/python2.7/site-packages/BroControl/" >> /etc/bro/broctl.cfg
echo "SpoolDir = /var/spool" >> /etc/bro/broctl.cfg
echo "LogDir = /var/log/bro" >> /etc/bro/broctl.cfg
echo "CfgDir = /etc/bro" >> /etc/bro/broctl.cfg

Schritt 5: Starten Sie BroCtl

Jetzt können wir unseren konfigurierten Knoten bereitstellen und mit der Protokollierung beginnen:

Befehl ausführen broctl deploy. Sie sehen die Ausgabe wie folgt:

cannot get list of local IP addresses
checking configurations ...
installing ...
removing old policies in /var/spool/installed-scripts-do-not-touch/site ...
removing old policies in /var/spool/installed-scripts-do-not-touch/auto ...
creating policy directories ...
installing site policies ...
generating standalone-layout.bro ...
generating local-networks.bro ...
generating broctl-config.bro ...
generating broctl-config.sh ...
updating nodes ...
stopping ...
stopping bro ...
starting ...
starting bro ...

Wenn Sie keine Fehler erhalten haben, wird bro bereitgestellt.

Schritt 5: Testen Sie Ihre Installation

Schauen wir uns nun die Protokolle an : ls -la /var/log/bro. Die Ausgabe sollte ähnlich sein:

total 12
drwxr-xr-x 3 root root 4096 Jun 13 10:11 .
drwxr-xr-x 1 root root 4096 Jun 13 10:04 ..
drwxr-xr-x 2 root root 4096 Jun 13 10:11 2017-06-13
lrwxrwxrwx 1 root root   14 Jun 13 10:11 current -> /var/spool/bro

Führen Sie diesen Befehl aus, um Protokolle zu beenden: tail -f /var/log/bro/current/conn.logund fragen Sie Ihre IP-Adresse über den Browser ab.
Wenn alles richtig konfiguriert wurde, werden Protokollmeldungen angezeigt.

Genießen!