Installare Bro IDS su Fedora 25

• introduzione
• Prerequisiti
• Passaggio 1: aggiornare il sistema
• Passaggio 2: installare le dipendenze
• Passaggio 3: installare Bro IDS
• Passaggio 4: configura Bro IDS
• Passaggio 5: avviare BroCtl
• Passaggio 5: verifica l'installazione

introduzione

Bro è un analizzatore del traffico di rete open source. È principalmente un monitor di sicurezza che ispeziona in profondità tutto il traffico su un collegamento alla ricerca di segnali di attività sospette. Più in generale, tuttavia, Bro supporta una vasta gamma di attività di analisi del traffico anche al di fuori del dominio di sicurezza, comprese le misurazioni delle prestazioni e la risoluzione dei problemi.

Prerequisiti

Prima di installare Bro, devi assicurarti che siano presenti alcune dipendenze:

Dipendenze richieste

• libpcap
• Librerie OpenSSL
• Libreria BIND8
• libz
• Bash (per BroControl)
• Python 2.6+ o versioni successive (per BroControl)

Non Sendmailè richiesto, ma fortemente raccomandato.

Passaggio 1: aggiornare il sistema

Prima di installare qualsiasi pacchetto si consiglia di aggiornare i pacchetti di sistema. Eseguire il comando dnf --assumeyes update. Questo scaricherà e installerà le ultime versioni dei pacchetti di sistema. Il gestore dei pacchetti risponderà automaticamente Sì ai prompt offerti. Potrebbe volerci del tempo.

Passaggio 2: installare le dipendenze

Dovrai installare i pacchetti richiesti sul tuo sistema. Esegui il seguente comando: dnf --assumeyes install libpcap openssl python zlib sendmail

Passaggio 3: installare Bro IDS

Esegui comando dnf install --assumeyes bro Questo comando verrà installato bronella /bindirectory. E ora configuriamolo.

Passaggio 4: configura Bro IDS

Crea cartelle: mkdir -p /var/log/broemkdir -p /var/spool

Configurazione del file node.cfg

Dal momento che l'interfaccia di Fedora 2x denominazione è stata cambiata, quindi cerchiamo di scoprire il nome iface corrente:
ls /sys/class/net. Uscita dovrebbe essere simile a questo: ens3 loo questo: eth0 lo. Nel primo caso ci interessa il ens3nome dell'interfaccia, nel secondo - eth0. Supponiamo che abbiamo ens3.

Ora esamina il file /etc/bro/node.cfg. Esegui comando less /etc/bro/node.cfg. Alla linea 11 c'è specifica di interfaccia di rete:
interface=eth0. Se il tuo nome iface è eth0: lascia che il file sia senza modifiche e vai al passaggio successivo. Altrimenti, cambiarlo con ens3. Per questo eseguire questo comando: sed -i 's/eth0/ens3'. L'opzione -iindica la modifica del file sul posto. ssostituirà il valore racchiuso tra la prima e la seconda barra al valore tra la seconda e la terza.

Configurazione del file broctl.cfg

Aggiungi variabili al file di configurazione:
echo "LibDirInternal = /usr/lib/python2.7/site-packages/BroControl/" >> /etc/bro/broctl.cfg
echo "SpoolDir = /var/spool" >> /etc/bro/broctl.cfg
echo "LogDir = /var/log/bro" >> /etc/bro/broctl.cfg
echo "CfgDir = /etc/bro" >> /etc/bro/broctl.cfg

Passaggio 5: avviare BroCtl

Ora possiamo distribuire il nostro nodo configurato e iniziare la registrazione:

Esegui comando broctl deploy. Vedrai un output come questo:

cannot get list of local IP addresses
checking configurations ...
installing ...
removing old policies in /var/spool/installed-scripts-do-not-touch/site ...
removing old policies in /var/spool/installed-scripts-do-not-touch/auto ...
creating policy directories ...
installing site policies ...
generating standalone-layout.bro ...
generating local-networks.bro ...
generating broctl-config.bro ...
generating broctl-config.sh ...
updating nodes ...
stopping ...
stopping bro ...
starting ...
starting bro ...

Se non hai riscontrato alcun errore, bro viene distribuito.

Passaggio 5: verifica l'installazione

Ora diamo un'occhiata ai log: ls -la /var/log/bro. L'output dovrebbe essere simile a questo:

total 12
drwxr-xr-x 3 root root 4096 Jun 13 10:11 .
drwxr-xr-x 1 root root 4096 Jun 13 10:04 ..
drwxr-xr-x 2 root root 4096 Jun 13 10:11 2017-06-13
lrwxrwxrwx 1 root root   14 Jun 13 10:11 current -> /var/spool/bro

Esegui questo comando per personalizzare i registri: tail -f /var/log/bro/current/conn.loged esegui una query sul tuo ip dal browser.
Se tutto è stato configurato correttamente, vedrai i messaggi di registro.

Godere!