Instalación de Bro IDS en Ubuntu 16.04

• Introducción
• Prerrequisitos
• Paso 1: actualizar el sistema
• Paso 2: Instalar dependencias
• Paso 3: instalar Bro
• Paso 4: Configurar Bro
• Paso 5: Ejecute Bro
• Paso 6: Prueba Bro

Introducción

Bro es un potente marco de análisis de red de código abierto. El enfoque principal de Bro es el monitoreo de la seguridad de la red. Bro también proporciona una plataforma para análisis de tráfico general, así como asistencia para la resolución de problemas y mediciones de rendimiento. Ofrece archivos de registro extensos que incluyen una amplia gama de datos en archivos de registro bien estructurados adecuados para el procesamiento posterior con aplicaciones externas. Estos registros incluyen:

• Todas las sesiones HTTP con sus URL solicitadas, encabezados clave, tipos MIME y respuestas del servidor.
• Solicitudes de DNS con respuestas.
• Contenido clave de las sesiones SMTP.
• Certificados SSL.

Bro también ofrece una variedad de tareas de análisis y detección como:

• Extracción de archivos de sesiones HTTP.
• Detección de ataques de fuerza bruta SSH.
• Detección de malware mediante la interfaz con registros externos.
• Reportando versiones vulnerables de software visto en la red.
• Detecta ataques de inyección SQL.

Bro puede instalarse como un sistema independiente o como parte de un Clúster de Bro que vincula un conjunto de sistemas para analizar conjuntamente el tráfico de una red. En este tutorial instalaremos Bro desde la fuente en modo independiente.

Prerrequisitos

• Una instancia de Ubuntu 16.04 con al menos 1 GB de memoria.
• Un usuario de sudo no root.

Paso 1: actualizar el sistema

Antes de comenzar nuestra instalación, se recomienda que actualice su sistema.

sudo apt-get update
sudo apt-get upgrade

Paso 2: Instalar dependencias

A continuación, necesitaremos instalar todos los paquetes necesarios en su servidor.

sudo apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python-dev swig zlib1g-dev sendmail sendmail-bin

Paso 3: instalar Bro

A continuación instalaremos Bro 2.5.2 desde la fuente. Visite la página de descarga de Bro para asegurarse de que está utilizando la última versión.

sudo mkdir -p /nsm/bro
cd ~
wget https://www.bro.org/downloads/bro-2.5.2.tar.gz
tar -xvzf bro-2.5.2.tar.gz
cd bro-2.5.2
./configure --prefix=/nsm/bro
make
sudo make install
export PATH=/nsm/bro/bin:$PATH

Paso 4: Configurar Bro

Primero le diremos a Bro qué interfaz nos gustaría monitorear. Esto se hace editando el archivo de configuración /nsm/bro/etc/node.cfg.

sudo nano /nsm/bro/etc/node.cfg

Encuentra la línea interface=eth0y cámbiala a tu interfaz.

interface=ens3

Puede encontrar qué interfaz está utilizando con lo siguiente.

ifconfig

A continuación, necesitaremos decirle a Bro dónde debe enviar el correo electrónico de registro agregando su dirección de correo electrónico /nsm/bro/etc/broctl.cfg.

sudo nano /nsm/bro/etc/broctl.cfg

Encuentra la MailTolínea y agrega tu dirección de correo electrónico.

MailTo = [email protected]

Paso 5: Ejecute Bro

Bro se comienza a usar BroControl, lo que necesitaremos instalar.

sudo /nsm/bro/bin/broctl
install
exit

Ahora puedes comenzar Bro.

sudo /nsm/bro/bin/broctl deploy

A continuación, configuraremos Bro para que se ejecute al inicio agregándolo a /etc/rc.local.

sudo nano /etc /rc.local

Agregue la siguiente línea, luego cierre y guarde el archivo.

/nsm/bro/bin/broctl start

A continuación, agregaremos un trabajo cron.

crontab -e

Agregue lo siguiente para mantener Bro.

0-59/5 * * * * /nsm/bro/bin/broctl cron

Paso 6: Prueba Bro

Para probar Bro, veremos el conn.logarchivo en tiempo real usando tail.

tail -f /nsm/bro/logs/current/conn.log

Podrá ver la salida de Bro a medida que se imprime en su terminal.